出力元が匿名化された匿名化情報を他の装置との間で共有する匿名化情報共有装置であって、共有化対象情報毎に、前記共有化対象情報の一部または全部と処理パスワードとの組み合わせに対して第1の一方向性関数を適用して、認証IDを生成する認証ID生成部と、生成された前記認証IDを共有化対象情報に付加して、匿名化情報を生成する匿名化部と、生成された前記匿名化情報を出力して前記他の装置に保持させる情報共有部と、前記処理パスワードを含む処理要求を生成して前記他の装置へ送信し、前記他の装置に対して、前記他の装置が保持する匿名化情報の一部または全部と前記処理パスワードとの組み合わせに対して前記第1の一方向性関数を適用した結果と前記他の装置が保持する匿名化情報の認証IDとの一致性に基づき、前記他の装置に保持させた匿名化情報に対して、出力元にのみ許可される所定の処理の実行を要求する匿名化情報処理要求部と、を有する、匿名化情報共有装置。前記認証ID生成部は、前記共有化対象情報の一部または全部と、前記処理パスワードと、データIDとの組み合わせに対して前記第1の一方向性関数を適用して、前記認証IDを生成する、請求項1記載の匿名化情報共有装置。前記認証ID生成部は、個人パスワードと前記データIDとの組み合わせに対して第2の一方向性関数を適用して、前記処理パスワードを生成する、請求項1記載の匿名化情報共有装置。前記情報共有部は、前記匿名化情報共有装置から出力された匿名化情報および前記他の装置から出力された匿名化情報を保持し、前記情報共有部が保持する前記匿名化情報に基づいて、前記匿名化情報共有装置が出力した前記匿名化情報の出力元として前記匿名化情報共有装置が特定されるリスクを監視する個人識別リスク監視部、を更に有し、前記匿名化情報処理要求部は、前記リスクが高いとき、前記他の装置に対して前記所定の処理を要求し、前記所定の処理は、前記リスクが低くなるような処理である、請求項1記載の匿名化情報共有装置。前記所定の処理は、前記他の装置に保持させた前記匿名化情報の削除を含む、請求項1記載の匿名化情報共有装置。出力元が匿名化された、共有化対象情報と認証IDとを含む匿名化情報を、他の装置との間で共有する匿名化情報共有装置であって、前記他の装置から出力された前記匿名化情報を保持する情報共有部と、前記他の装置から、処理パスワードを含む処理要求を受信したとき、前記情報共有部が保持する前記匿名化情報毎に、前記匿名化情報の共有化対象情報の一部または全部と前記処理パスワードとの組み合わせに対して第1の一方向性関数を適用した結果と、前記匿名化情報の認証IDとの一致性に基づき、前記匿名化情報に関する所定の処理を実行するか否かを判断する匿名化情報処理部と、を有する、匿名化情報共有装置。出力元が匿名化された匿名化情報を他の装置との間で共有する匿名化情報共有方法であって、共有化対象情報毎に、前記共有化対象情報の一部または全部と処理パスワードとの組み合わせに対して第1の一方向性関数を適用して、認証IDを生成するステップと、生成した前記認証IDを共有化対象情報に付加して、匿名化情報を生成するステップと、生成した前記匿名化情報を出力して前記他の装置に保持させるステップと、前記処理パスワードを含む処理要求を生成して前記他の装置へ送信し、前記他の装置に対して、前記他の装置が保持する匿名化情報の一部または全部と前記処理パスワードとの組み合わせに対して前記第1の一方向性関数を適用した結果と前記他の装置が保持する匿名化情報の認証IDとの一致性に基づき、前記他の装置に保持させた匿名化情報に対して、出力元にのみ許可される所定の処理の実行を要求するステップと、を有する、匿名化情報共有方法。特許文献1記載の技術は、病院のような権限が1箇所に集中した運用形態等、1つの装置で匿名化情報の保持および匿名化番号の管理を行うような集中管理型のネットワークにおいては有効である。しかしながら、特許文献1記載の技術は、上述のような、twitter登録商標等の、不特定または特定多数が情報を投稿、閲覧するシステムや、特定端末間が直接通信するP2PPeertoPeerシステム等の分散管理型のネットワークでは、匿名化情報管理の継続が困難であるという課題を有する。なぜなら、このようなネットワークでは、投稿等により一旦共有されてしまった匿名化情報所有者が不特定である匿名化情報を、削除する必要があるからである。本発明の目的は、分散管理型のネットワークで共有される匿名化情報に対し、出力元による管理を継続することができる匿名化情報共有装置および匿名化情報共有方法を提供することである。本発明の匿名化情報共有装置は、出力元が匿名化された匿名化情報を他の装置との間で共有する匿名化情報共有装置であって、共有化対象情報毎に、前記共有化対象情報の一部または全部と処理パスワードとの組み合わせに対して第1の一方向性関数を適用して、認証IDを生成する認証ID生成部と、生成された前記認証IDを共有化対象情報に付加して、匿名化情報を生成する匿名化部と、生成された前記匿名化情報を出力して前記他の装置に保持させる情報共有部と、前記処理パスワードを含む処理要求を生成して前記他の装置へ送信し、前記他の装置に対して、前記他の装置が保持する匿名化情報の一部または全部と前記処理パスワードとの組み合わせに対して前記第1の一方向性関数を適用した結果と前記他の装置が保持する匿名化情報の認証IDとの一致性に基づき、前記他の装置に保持させた匿名化情報に対して、出力元にのみ許可される所定の処理の実行を要求する匿名化情報処理要求部とを有する。本発明の匿名化情報共有装置は、出力元が匿名化された、共有化対象情報と認証IDとを含む匿名化情報を、他の装置との間で共有する匿名化情報共有装置であって、前記他の装置から出力された前記匿名化情報を保持する情報共有部と、前記他の装置から、処理パスワードを含む処理要求を受信したとき、前記情報共有部が保持する前記匿名化情報毎に、前記匿名化情報の共有化対象情報の一部または全部と前記処理パスワードとの組み合わせに対して第1の一方向性関数を適用した結果と、前記匿名化情報の認証IDとの一致性に基づき、前記匿名化情報に関する所定の処理を実行するか否かを判断する匿名化情報処理部とを有する。本発明の匿名化情報共有方法は、出力元が匿名化された匿名化情報を他の装置との間で共有する匿名化情報共有方法であって、共有化対象情報毎に、前記共有化対象情報の一部または全部と処理パスワードとの組み合わせに対して第1の一方向性関数を適用して、認証IDを生成するステップと、生成した前記認証IDを共有化対象情報に付加して、匿名化情報を生成するステップと、生成した前記匿名化情報を出力して前記他の装置に保持させるステップと、前記処理パスワードを含む処理要求を生成して前記他の装置へ送信し、前記他の装置に対して、前記他の装置が保持する匿名化情報の一部または全部と前記処理パスワードとの組み合わせに対して前記第1の一方向性関数を適用した結果と前記他の装置が保持する匿名化情報の認証IDとの一致性に基づき、前記他の装置に保持させた匿名化情報に対して、出力元にのみ許可される所定の処理の実行を要求するステップとを有する。本発明によれば、匿名化情報の出力元のみが、匿名化された状態を保持しつつ、匿名化情報に対する処理権限を持つ処理要求であることを認証し、匿名化情報に関する所定の処理を、匿名化情報を保持する装置に対して実行させることができる。すなわち、本発明は、分散管理型のネットワークで共有される匿名化情報に対し、出力元による管理を継続することができる。以下、本発明の各実施の形態について、図面を参照して詳細に説明する。実施の形態1図2は、本発明の実施の形態1に係る匿名化情報共有装置を含む匿名化情報共有システムの構成の一例を示すシステム構成図である。図2において、匿名化情報共有システム100は、通信ネットワーク200を介して互いに無線通信を行う、第1~第jの匿名化情報共有装置300-1~300-jを有する。第1~第jの匿名化情報共有装置300-1~300-jは、中央管理サーバ等を用いずに、互いの匿名化情報を送信し合って共有化する。すなわち、匿名化情報共有システム100は、分散管理型のネットワークにおいて、匿名化情報の共有を行うシステムである。第1~第jの匿名化情報共有装置300-1~300-jは同一の構成を有する。したがって、以下、適宜、これらは、匿名化情報共有装置300と総称する。また、本実施の形態において、適宜、ある匿名化情報の出力元の匿名化情報共有装置300は、匿名化情報共有装置300sと表記し、その匿名化情報の出力先の匿名化情報共有装置300は、匿名化情報共有装置300rと表記する。図3は、匿名化情報共有装置300の構成を示すブロック図である。ここでは、匿名化情報を送信出力する際に使用される機能部と、匿名化情報を受信入力する際に使用される機能部とを分けて図示する。図3に示すように、匿名化情報の出力元である匿名化情報共有装置300sは、情報非共有部310、認証ID生成部320、匿名化部330、情報共有部340、および匿名化情報処理要求部350を有する。また、匿名化情報の出力先である匿名化情報共有装置300rは、上述の情報共有部340と、匿名化情報処理部360とを有する。情報蓄積部310は、共有化の対象となるデータであって、データ本体に時刻情報および位置情報が付加されたデータ共有化対象情報、以下個人属性情報というを格納する。時刻情報および位置情報は、例えば、GPSglobalpositioningsystem信号から取得された、日本標準時および現在位置の緯度経度である。データ本体は、例えばユーザの入力テキスト、センサが観測する脈拍や血圧等の生体信号情報、あるいは、歩数や活動強度等の活動量情報等である。なお、データ本体の情報フォーマットの一部または全部は、限定しないが、HL7HealthLevelSeven、ContinuaAllianceのガイドライン、DICOMDigitalImagingandCommunication等で規定されたフォーマットとしても良い。また、データ本体は、これらのフォーマットで記述される情報の一部または全部を用いたものであっても良い。HL7は、医療情報交換のための標準規約であり、患者管理、オーダ、照会、財務、検査報告、マスタファイル、情報管理、予約、患者紹介、患者ケア、ラボラトリオートメーション、アプリケーション管理、人事管理等の情報交換を取り扱うためのものである。ContinuaAllianceは、予防的な健康管理HealthandWellness、慢性疾患管理DiseaseManagement、高齢者の自立生活AgingIndependentlyの3分野を中心に、システムの相互接続のためのガイドラインを策定し、実機器を用いた接続性検証やロゴ認証を行っている団体である。DICOMは、米国放射線学会ACRと北米電子機器工業会NEMAが開発した医用画像のフォーマットと、それらの画像を扱う医用画像機器間の通信プロトコルとを定義した、標準規格である。すなわち、DICOMは、CTComputedTomographyやMRIMagneticResonanceImaging、CRComputedRagiography等で撮影した医用画像を取り扱うためのものである。また、データ本体は、GoogleHealthやMicrosoftHealthVaultといった健康情報記録サービスの情報そのものでも良い。また、データ本体は、健康情報記録サービスの情報へのリンク情報や、健康情報記録サービスのAPIApplicationProgramInterfaceを介して得られる情報であっても良い。認証ID生成部320は、個人属性情報ごとに、個人属性情報の一部または全部と、削除パスワードと、データIDとの組み合わせに対して、一方向性関数の1つであるハッシュ関数を適用して、認証IDを生成する。そして、認証ID生成部320は、生成した認証IDを匿名化部330へ出力し、認証IDと、認証IDの生成に用いた削除パスワードとを、匿名化情報処理要求部350へ出力する。匿名化部330は、情報非共有部310に格納された個人属性情報を取得し、認証ID生成部320から入力された認証IDを個人属性情報に付加して、匿名化情報を生成する。そして、匿名化部330は、生成した匿名化情報を、情報共有部340へ出力する。情報共有部340は、出力元の匿名化情報共有装置300sにおいて、匿名化部330から入力された匿名化情報を、出力先の匿名化情報共有装置300rの情報共有部340に送信する。また、情報共有部340は、出力先の匿名化情報共有装置300rにおいて、他の匿名化情報共有装置300sから送られてきた匿名化情報を受信し、これを保持する。すなわち、情報共有部340は、他の匿名化情報共有装置300の情報共有部340との間で、例えば任意のピアツーピアP2Pプロトコルを用いて、匿名化情報を共有する。匿名化情報処理要求部350は、認証ID生成部320から入力された認証IDに対応する個人属性情報を削除する場合に、その認証IDに対応する削除パスワードを含む削除要求を、他の匿名化情報共有装置300rへ送信する。この削除要求は、要求先の匿名化情報共有装置300rにおいて、その匿名化情報共有装置300rの情報共有部340が保持する匿名化情報の削除を要求するものである。より具体的には、削除要求は、匿名化情報の一部または全部と削除パスワードとに対してハッシュ関数を適用した結果と、認証IDが一致する匿名化情報が存在するとき、その匿名化情報の削除を要求するものである。ここでは、削除要求は、匿名化情報の一部または全部として、個人属性データの一部とデータIDとを指定するものとする。また、ハッシュ関数を適用する際の情報の並べ方等は、予め定められているものとする。匿名化情報処理部360は、匿名化情報の出力先の匿名化情報共有装置300rにおいて、匿名化情報の出力元の匿名化情報共有装置300sから送られてきた削除要求を受信する。匿名化情報処理部360は、情報共有部340に保持する匿名化情報の一部または全部と削除要求に含まれる削除パスワードとの組み合わせに対して、ハッシュ関数を適用した結果と、情報共有部340に保持された匿名化情報の認証IDとを比較する。そして、匿名化情報処理部360は、ハッシュ関数を適用した結果と認証IDが一致する匿名化情報が存在するとき、その匿名化情報を削除する。なお、匿名化情報処理部360は、図示しないが、例えば、CPUcentralprocessingunit、RAMrandomaccessmemory等の記憶媒体、複数のキースイッチ等から成る操作部、液晶ディスプレイ等から成る表示部、および無線通信回路を有する。この場合、上述の各機能部は、CPUが制御プログラムを実行することにより実現する。このような構成を有する匿名化情報共有装置300は、個人属性情報から匿名化情報を生成し、生成した匿名化情報を他の匿名化情報共有装置300と共有することができる。また、匿名化情報共有装置300は、共有する個人属性情報毎に、個人属性情報の一部と、削除パスワードと、データIDとの組み合わせに対してハッシュ関数を適用して生成した認証IDを付加し、匿名化情報を生成することができる。また、匿名化情報共有装置300は、匿名化情報に対する削除権限を持つ削除要求であることを認証する削除パスワードを含めた削除要求を行うことにより、自己が出力元である匿名化情報を削除することができる。そして、匿名化情報共有装置300は、保持する各匿名化情報の一部または全部と削除要求に含まれる削除パスワードとの組み合わせに対してハッシュ関数を適用した結果と、その匿名化情報の認証IDとが一致するとき、その削除要求に従い、該当する匿名化情報を削除することができる。また、匿名化情報共有装置300は、特に個人情報を特定したり公開したりすることなく、このような匿名化情報の削除を行うことができる。したがって、本実施の形態の匿名化情報共有装置300は、分散型ネットワーク上で匿名化情報の共有化を可能にし、かつ、一旦共有化された匿名化情報を、出力元が匿名化された状態を保持しつつ、出力元のみが削除することを可能にする。次に、匿名化情報の共有化から削除までに各匿名化情報共有装置300で行われる処理の概要について説明する。図4は、匿名化情報の共有化から削除までの処理の概要を模式的に示す図である。まず、ある匿名化情報共有装置300sは、図4Aに示すように、個人属性情報410を、情報非共有部310から匿名化部330へと渡す。次に、匿名化情報共有装置300sは、図4Bに示すように、削除パスワード420を、認証ID生成部320から匿名化部330へと渡す。そして、図4Cに示すように、匿名化情報共有装置300sは、個人属性情報410の一部と、データID415と、削除パスワード420との組み合わせに対して、ハッシュ関数を適用して認証ID430を生成する。そして、図4Dに示すように、匿名化情報共有装置300sは、認証ID430を個人属性情報410に組み込んだ匿名化情報440を、自己の情報共有化部340に保持すると共に、他の匿名化情報共有装置300rに送信する。これにより、匿名化情報共有装置300sのl情報共有化部340と匿名化情報共有装置300rの情報共有部340には、同一の匿名化情報440が保持される。そして、図4Eに示すように、出力元の匿名化情報共有装置300sは、匿名化情報440の削除指示がユーザ等からあった場合、削除パスワード420を含む削除要求を、他の匿名化情報共有装置300rへ送信する。すると、図4Fに示すように、匿名化情報共有装置300rは、匿名化情報処理部360において、情報共有部340に保持する匿名化情報の一部または全部ここでは個人属性情報410の一部およびデータID415と削除パスワード420との組み合わせに対してハッシュ関数を適用する。そして、図4Gに示すように、匿名化情報共有装置300rは、ハッシュ関数の結果と、匿名化情報440に組み込まれた認証ID430とを比較し、これらが一致するときは、匿名化情報440を削除する。匿名化情報共有システム100の全ての匿名化情報共有装置300は、同一のハッシュ関数を用いる。そして、匿名化情報共有システム100の全ての匿名化情報共有装置300は、匿名化情報440から認証ID430を抽出することができ、削除要求から削除パスワード420を抽出することができる。したがって、匿名化情報共有システム100では、出力元の匿名化情報共有装置300sは、匿名化情報440を削除要求によって削除することができる。また、認証ID430は、一方向性関数であるハッシュ関数により生成されるため、第三者は認証ID430から元の削除パスワードを特定することができない。したがって、共有化された匿名化情報440の出力元以外の装置は、匿名化情報440の認証ID430が分かっていても、その匿名化情報440を削除する削除要求の成りすましを行い、匿名化情報440を削除することはできない。次に、匿名化情報共有装置300の動作について説明する。図5は、匿名化情報共有装置300の動作を示すフローチャートである。まず、ステップS1000において、匿名化部330は、匿名化情報の出力の指示があったか否かを判断する。この指示は、例えば、ユーザ操作による指示である。匿名化部330は、匿名化情報の出力の指示があった場合はS1000:YES、ステップS2000へ進む。また、匿名化部330は、匿名化情報の出力の指示が無い場合はS1000:NO、そのままステップS3000へ進む。ステップS2000において、匿名化情報共有装置300sは、匿名化情報出力処理を実行し、ステップS3000へ進む。匿名化情報出力処理は、匿名化情報を生成し、生成した匿名化情報を、他の匿名化情報共有装置300rへ出力して共有化する処理である。図6は、匿名化情報出力処理を示すフローチャートである。まず、ステップS2100において、認証ID生成部320は、個人属性情報の一部と、予め用意した削除パスワードと、匿名化情報に対応するデータ毎に付与するデータIDとに対して、ハッシュ関数を適用することにより、認証IDを生成する。削除パスワードは、例えば、個人属性情報が登録された年月日時分秒に8桁の乱数を加えた文字列等、個人属性情報毎に異なるパスワードであることが望ましい。さらに、認証ID生成部320は、生成した認証IDを匿名化部330へ出力する。なお、これらの処理は、図5のステップS1000の処理よりも先に実行されていても良い。そして、ステップS2200において、匿名化部330は、情報非共有部310から個人属性情報を取得する。そして、匿名化部330は、取得した個人属性情報に、認証ID生成部320から入力された認証IDおよびデータIDを付加して、匿名化情報を生成する。データIDは、例えば、個人属性情報が登録された年月日時分秒に3桁の通し番号を加えた文字列等、個人属性情報毎に異なるパスワードであることが望ましい。なお、これらの処理は、図5のステップS1000の処理よりも先に実行されていても良い。そして、匿名化部330は、生成した匿名化情報を、情報共有部340へ出力する。そして、ステップS2300において、情報共有部340は、匿名化部330から新たに入力された匿名化情報を、他の匿名化情報共有装置300rに出力送信し、図5の処理へ戻る。この結果、匿名化情報は、他の匿名化情報共有装置300rでの後述のステップS4000の処理により、匿名化情報共有装置300sの情報共有部340と、匿名化情報共有装置300rの情報共有部340との間で、共有化される。図5のステップS3000において、情報共有部340は、他の匿名化情報共有装置300sから匿名化情報を受信したか否かを判断する。情報共有部340は、匿名化情報を受信した場合はS3000:YES、ステップS4000へ進む。また、情報共有部340は、匿名化情報を受信していない場合はS3000:NO、そのままステップS5000へ進む。ステップS4000において、情報共有部340は、受信した匿名化情報を保持し、ステップS5000へ進む。ステップS5000において、匿名化情報処理要求部350は、共有化した匿名化情報の削除の指示があったか否かを判断する。この指示は、例えば、ユーザ操作による指示である。匿名化情報処理要求部350は、匿名化情報の削除の指示があった場合はS5000:YES、ステップS6000へ進む。また、匿名化情報処理要求部350は、匿名化情報の削除の指示が無い場合はS5000:NO、そのままステップS7000へ進む。ステップS6000において、匿名化情報処理要求部350は、削除パスワードを含む削除要求を、他の匿名化情報共有装置300rへ送信し、ステップS7000へ進む。ステップS7000において、匿名化情報処理部360は、他の匿名化情報共有装置300sから削除要求を受信したか否かを判断する。匿名化情報処理部360は、削除要求を受信した場合はS7000:YES、ステップS8000へ進む。また、匿名化情報処理部360は、削除要求を受信していない場合はS7000:NO、そのままステップS9000へ進む。ステップS8000において、匿名化情報共有装置300rは、匿名化情報削除処理を実行する。匿名化情報削除処理は、削除要求を受けて、情報共有部340が保持する匿名化情報を適宜削除する処理である。図7は、匿名化情報削除処理を示すフローチャートである。まず、ステップS8100において、匿名化情報処理部360は、受信した削除要求の削除パスワードを取得する。そして、ステップS8200において、匿名化情報処理部360は、情報共有部340が保持する匿名化情報の中から1つを選択する。そして、ステップS8300において、匿名化情報処理部360は、取得した削除パスワードと、選択中の匿名化情報に含まれるデータIDと、選択中の匿名化情報に含まれる個人属性情報との組み合わせに対して、ハッシュ関数を適用する。ステップS8400において、匿名化情報処理部360は、ハッシュ関数を適用した結果が、選択中の匿名化情報の認証IDと一致するか否かを判断する。匿名化情報処理部360は、適用結果と認証IDとが一致する場合はS8400:YES、ステップS8500へ進む。また、匿名化情報処理部360は、適用結果と認証IDとが一致しない場合はS8400:NO、ステップS8600へ進む。ステップS8500において、匿名化情報処理部360は、選択中の匿名化情報を、情報共有部340から削除して、ステップS8600へ進む。この結果、出力元からの削除要求である場合には、その削除要求に従って、匿名化情報が削除される。ステップS8600において、匿名化情報処理部360は、情報共有部340に保持されている匿名化情報に、未選択のものがあるか否かを判断する。匿名化情報処理部360は、未選択の匿名化情報がある場合はS8600:YES、ステップS8200へ戻り、未選択の匿名化情報を選択して処理を繰り返す。また、匿名化情報処理部360は、未選択の匿名化情報が無い場合はS8600:NO、図5の処理へ戻る。この結果、匿名化情報共有装置300sは、他の匿名化情報共有装置300rに保持されている匿名化情報が複数存在する場合でも、自装置が出力した匿名化情報を削除させることができる。なお、本実施の形態では、情報共有部340が保持する匿名化情報毎に、削除パスワードと匿名化情報に含まれるデータIDに対してハッシュ関数を適用し、同じ匿名化情報に含まれる認証IDと一致するか判断している。しかし、匿名化情報のどの部分に基づいて判断を行えば良いかは、上述の例に限定されるものではない。例えば、削除パスワードとデータIDとのペアを送信して削除要求することにより、判断の対象を指定してもよい。この場合、匿名化情報を受信した匿名化情報共有装置300rは、まずデータIDに基づいて匿名化情報の絞り込みを行ってからハッシュ関数の適用を行うことができるので、処理負荷および処理時間を大幅に削減することができる。ステップS9000において、匿名化情報共有装置300は、処理の終了を指示されたか否かを判断する。この指示は、例えばユーザ操作による指示である。匿名化情報共有装置300は、処理の終了を指示されていない場合はS9000:NO、ステップS1000へ戻る。また、匿名化情報共有装置300は、処理の終了を指示された場合はS9000:YES、一連の処理を終了する。以上のように、本実施の形態に係る匿名化情報共有装置300は、削除要求の削除パスワードと、匿名化情報に含まれるデータIDと、匿名化情報に含まれる個人属性情報の一部との組み合わせに対してハッシュ関数を適用する。そして、匿名化情報共有装置300、その結果と匿名化情報の認証IDとの一致性に基づいて、匿名化情報を削除させる。これにより、匿名化情報の出力元のみが、匿名化された状態を保持しつつ、匿名化情報に関する所定の処理を他の匿名化情報共有装置300rに対して実行させることを可能にする。すなわち、本実施の形態に係る匿名化情報共有装置300は、分散管理型のネットワークで共有される匿名化情報に対し、出力元による管理を継続することができる。また、匿名化情報共有装置300は、削除パスワードを受信すると、上記ステップを実行すると同時にその端末が共有している全部、あるいはいくつかの匿名化情報共有装置に対して、その削除パスワードを転送する。これにより、どの装置が削除要求を発したかの発見を難しくすることができる。実施の形態2図8は、本発明の実施の形態2に係る匿名化情報共有装置の構成を示すブロック図であり、実施の形態1の図3に対応するものである。図3と同一部分には同一符号を付し、これについての説明を省略する。また、以下、適宜、ある匿名化情報の出力元の匿名化情報共有装置300aを匿名化情報共有装置300asと表記し、その匿名化情報の出力先の匿名化情報共有装置300aを匿名化情報共有装置300arと表記する。図8において、匿名化情報の出力元である匿名化情報共有装置300asの機能部は、図3の各機能部に加えて、個人属性情報蓄積部370a、データID記憶部380a、および個人識別リスク監視部390aを有する。個人属性情報蓄積部370aは、ユーザの現在位置の緯度経度情報等のセンサ情報を取得して個人属性情報を生成し、生成した個人属性情報を情報非共有部310に記録する。データID記憶部380aは、ユーザにより任意に設定された個人パスワードを予め記憶する。また、データID記憶部380aは、匿名化情報共有装置300as内の各情報を特定するデータIDを保持する。すなわち、本実施の形態においては、データIDは、個人属性情報毎に異なる、ワンタイムパスワードを生成する際の鍵情報の一部であり、個人属性情報の操作権限を認証する公開鍵情報である。データIDは、例えば、個人属性情報が生成される際に、匿名化情報共有装置毎に、任意の方法、または、同一の方法を用いて任意のID体系で作成され、データID記憶部380aに記憶される。なお、本実施の形態においては、匿名化部330は、認証IDを、匿名状態がより維持され易いような情報に変換匿名化して、匿名化情報を生成するものとする。具体的には、本実施の形態においては、認証ID生成部320は、データIDと個人パスワードとの組み合わせに対してハッシュ関数を適用して、削除パスワードを生成するものとする。そして、認証ID生成部320は、実施の形態1と同様に、生成した削除パスワードと、データIDと、個人属性情報の一部または全部との組み合わせに対して、ハッシュ関数を適用して、認証IDを生成するものとする。すなわち、本実施の形態においては、認証IDだけでなく、削除パスワードも、匿名化情報毎に異なる内容となる。また、本実施の形態においては、匿名化情報処理要求部350は、認証ID生成部320と同様の処理により、削除パスワードを生成するものとする。個人識別リスク監視部390aは、情報共有部340が保持する匿名化情報に基づいて、匿名化情報共有装置300asの個人識別リスクを監視する。ここで、個人識別リスクとは、匿名化情報共有装置300asが出力した匿名化情報の出力元である、個人または個人に紐付けられた、匿名化情報共有装置300aが特定される危険性の高さをいうものとする。そして、個人識別リスク監視部390aは、個人識別リスクが高いとき、匿名化情報処理要求部350に対し、個人識別リスクが高い匿名化情報の削除を指示する。削除パスワードと認証IDとを用いて認証を実現する最も単純な方法は、個人パスワードによるハッシュ値を認証IDとし、個人パスワードを、削除パスワードとして用いることである。しかしながら、この場合、すべての匿名化情報で同一の削除パスワードが用いられるため、削除パスワードの漏洩により、個人の任意の匿名化情報が削除、改ざんされるおそれがある。それを防ぐためには、匿名化情報毎に異なる削除パスワードを設定すれば良い。但し、その場合、ユーザは全ての匿名化情報の削除パスワードを準備し管理する必用がでてくるため、現実的ではない。そのため、本実施の形態の匿名化情報共有装置300aは、データIDと個人パスワードとの組み合わせにハッシュ関数を適用して、ユニークな削除パスワードを生成することにより、データ毎に削除パスワードを準備し管理する必要がない。このように、匿名化情報共有装置300aは、削除パスワードおよび認証IDを、匿名化情報毎に変化させることができる。これにより、匿名化情報共有装置300aは、削除パスワードおよび認証IDに基づいて行動を第三者に追跡されるリスクを低減することができる。また、匿名化情報共有装置300aは、個人識別リスクが高いとき、当該匿名化情報を削除し、個人識別リスクを低減することができる。個人識別リスクが高い状況とは、例えば、自装置が居た場所に同時間帯に居たとする他装置がおらず、匿名化情報をそのままにしておくと匿名化情報の出力元の匿名性が失われるおそれがあるような状況である。次に、匿名化情報の共有化から削除までに各匿名化情報共有装置300aで行われる処理の概要について説明する。図9は、匿名化部330における個人属性情報の匿名化を模式的に示す図である。図9に示すように、匿名化部330は、時刻t~時刻tmに生成された1m個の個人属性情報510t~510tmを、元の個人属性情報の詳細が特定され難い1個の個人属性情報520に纏める。具体的には、匿名化部330は、個人属性情報510t~510tmの時刻情報511の代表値として、時刻レンジ521を決定する。また、匿名化部330は、第1~第nの代表データ5231~523nの位置レンジ512の代表値として、位置レンジ522を決定する。また、匿名化部330は、第1~第nの代表データ5231~523nの第1~第nのデータ本体5131~513nのそれぞれの代表値として、第1~第nの代表データ5231~523nを決定する。時刻レンジ521は、例えば、時刻tと、時刻tから時刻tmまでの時間長dと、個人属性情報510t~510tmのサンプリング間隔sとから成る。位置レンジ522は、例えば、時刻tから時刻tmまでの位置情報の分布範囲の中心位置の緯度経度情報Gと、分布範囲の中心位置からの半径rとから成る。代表データ523は、いずれかの時刻のデータ本体、頻出する語句や値、平均値等である。すなわち、匿名化情報共有装置300aは、個人のある時刻における居場所を示す情報を直接に共有するのではなく、ある空間範囲かつ時間範囲の集約情報や統計情報を共有する。このような個人属性情報520は、個人属性情報510t~510tmのそれぞれに比べて、出力元をより特定し難いより匿名化された情報と成り得る。したがって、ユーザは、位置情報を活用する有用なサービスを享受しながら、匿名化された情報を他者と共有することが可能となる。図10は、本実施の形態における匿名化情報の共有化から削除までの処理の概要を模式的に示す図であり、実施の形態1の図4に対応するものである。まず、ある匿名化情報共有装置300asは、図10Aに示すように、個人属性情報610図9の個人属性情報520に相当を生成する。そして、図10Bに示すように、匿名化情報共有装置300asは、個人属性情報610のデータID620を設定する。そして、図10Cに示すように、匿名化情報共有装置300asは、データID620と予め設定された個人パスワード630との組み合わせに対して、ハッシュ関数を適用して削除パスワード640を生成する。そして、図10Dに示すように、匿名化情報共有装置300asは、データID620と、個人属性情報610の一部または全部ここでは代表データと、削除パスワード640との組み合わせに対してハッシュ関数を適用する。これにより、匿名化情報共有装置300asは、認証ID650を生成する。そして、図10Eに示すように、匿名化情報共有装置300asは、認証ID650およびデータID620を個人属性情報610に組み込んだ匿名化情報660を、他の匿名化情報共有装置300arの情報共有部340に送信する。これにより、匿名化情報660は、共有される。そして、図10Fに示すように、出力元の匿名化情報共有装置300asは、個人識別リスク監視部390a等から、共有化した匿名化情報660の削除指示を行う。このとき、匿名化情報共有装置300asは、図10B、図10Cと同様の手順により、削除パスワード640を生成する。そして、匿名化情報共有装置300asは、削除要求に含める形で、削除パスワード640を他の匿名化情報共有装置300arへ送信する。すると、図10Gに示すように、他の匿名化情報共有装置300arは、匿名化情報処理部360において、個人属性情報610の一部または全部代表データと、削除パスワード640と、データIDとの組み合わせに対して、ハッシュ関数を適用する。そして、図10Hに示すように、他の匿名化情報共有装置300arは、ハッシュ関数の結果と、匿名化情報660に組み込まれた認証ID650とを比較し、これらが一致するときは、匿名化情報660を削除する。全ての匿名化情報共有装置300aは、認証IDの生成および削除パスワードの生成に同一のハッシュ関数を用いることができる。また、全ての匿名化情報共有装置300aは、ハッシュ関数を匿名化情報660の同一部分に対して適用することができる。したがって、各匿名化情報共有装置300asは、実施の形態1と同様に、自装置が出力して共有化した匿名化情報の管理を継続することができる。また、データIDは、個人属性情報610毎に異なる。また、個人パスワード630はユーザが任意に設定することができる。したがって、これらからハッシュ関数により生成される削除パスワード640は、出力元が非常に特定され難い情報となる。更に、データIDと、個人属性情報610自体と、削除パスワードとから、ハッシュ関数により生成される認証IDも、出力元が非常に特定され難い情報となる。すなわち、匿名化情報共有装置300aは、匿名化情報の管理に用いるために付加的に送受信される各情報以下付加的情報というについても、匿名化された状態にすることができる。次に、匿名化情報共有装置300aの動作について説明する。図11は、本実施の形態に係る匿名化情報共有装置300aの動作を示すフローチャートであり、実施の形態1の図5に対応するものである。図5と同一部分には同一符号を付し、これについての説明を省略する。匿名化情報共有装置300asは、ユーザ操作等により匿名化情報の出力の指示があった場合はS1000:YES、ステップS2000aにおいて、実施の形態1とは異なる匿名化情報出力処理を実行する。図12は、本実施の形態における匿名化情報出力処理を示すフローチャートであり、実施の形態1の図6に対応するものである。図6と同一部分には同一ステップ番号を付し、これについての説明を省略する。まず、ステップS2010aにおいて、匿名化部330は、匿名化情報の出力の指示の対象となっている個人属性情報を取得し、これを匿名化する。すなわち、匿名化部330は、図9で説明したように、時刻t~時刻tmに生成された1m個の個人属性情報510t~510tmが対象となっている場合には、これらを1個の個人属性情報520で代表させる。そして、ステップS2020aにおいて、データID記憶部380aは、匿名化部330が匿名化した個人属性情報のデータIDを生成する。そして、データID記憶部380aは、生成したデータIDと予め設定された個人パスワードとを、認証ID生成部320へ出力する。そして、ステップS2030aにおいて、認証ID生成部320は、入力されたデータIDと入力された個人パスワードとの組み合わせに対してハッシュ関数を適用する。これにより、認証ID生成部320は、削除パスワードを生成する。匿名化情報出力処理における以降の処理は、実施の形態1と同様である。また、匿名化情報共有装置300asは、削除指示の有無を判断する前に図11のS5000、ステップS4500aとして、リスク監視処理を実行する。リスク監視処理は、情報共有部340に保持された各匿名化情報の個人識別リスクを監視し、個人識別リスクが高くなった匿名化情報を削除させる処理である。図13は、リスク監視処理を示すフローチャートである。まず、ステップS4510aにおいて、個人識別リスク監視部390aは、情報共有部340が保持する匿名化情報を、時刻レンジと位置レンジとの組み合わせに基づいてグルーピングする。具体的には、個人識別リスク監視部390aは、例えば、自装置の匿名化情報に対して、時刻レンジと位置レンジとの両方が重なる他装置の匿名化情報が存在するとき、これらをグループ化する。そして、ステップS4520aにおいて、個人識別リスク監視部390aは、グループを構成する匿名化情報の数が閾値k以下であるグループが存在するか否かを判断する。閾値kは、許容される個人識別リスクに応じて予め定められる値である。すなわち、閾値kは、時刻レンジおよび位置レンジが重なるという条件を満たす集団の中で、特定の個人が識別される可能性が出る、集団の最大母数である。個人識別リスク監視部390aは、該当するグループが存在する場合はS4520a:YES、ステップS4530aへ進む。また、個人識別リスク監視部390aは、該当するグループが存在しない場合はS4520a:NO、そのまま図11の処理に戻る。ステップS4530aにおいて、個人識別リスク監視部390aは、匿名化情報処理要求部350に対し、匿名化情報の数が閾値k以下であるグループの自装置の匿名化情報の削除を指定して、図11の処理に戻る。この結果、匿名化情報共有装置300asは、いずれかの自装置の匿名化情報の個人識別リスクが高いときに、これを検出し、その匿名化情報の削除を指示することができる。また、匿名化情報共有装置300asは、いずれかの匿名化情報を削除する旨の指示があった場合はS5000:YES、ステップS6000aとして、削除要求送信処理を実行する。削除要求送信処理は、削除指定された匿名化情報の削除を要求する削除要求を他の匿名化情報共有装置300arへ送信する処理である。例えば、ある駅を示す位置レンジにおいて、通勤時間帯である8時から9時までの間の1時間の時刻レンジでは、匿名化情報の数が300であり、12時から13時までの間の1時間の時刻レンジでは、匿名化情報の数が10である状況を想定する。この場合、8時から9時までの時刻レンジのでは、個人を特定される可能性が低いが、12時から13時までの時刻レンジでは、個人を特定される可能性が高くなる。このような場合、例えば、k=30を閾値として設定することにより、個人識別リスク監視部390aは、匿名化情報の数が30を下回るグループが存在するとき、そのグループの自装置の匿名化情報を削除することができる。更に、匿名化情報を削除した後に、個人識別リスク監視部390aは、自身が把握する匿名化情報数に基づいて、位置レンジを広げる。あるいは、個人識別リスク監視部390aは、時刻レンジを広げる等、匿名化情報を作成する際の各種条件を再設定して、匿名化情報を作成し直して再び共有化してもよい。なお、個人識別リスク監視部390aは、匿名化情報を生成する前に、個人識別リスクが低くなるような位置レンジおよび時刻レンジを設定するために用いられても良い。図14は、本実施の形態における削除要求送信処理を示すフローチャートである。まず、ステップS6010aにおいて、個人識別リスク監視部390aは、削除が指定された匿名化情報のデータIDを取得する。そして、個人識別リスク監視部390aは、取得したデータIDと予め設定された個人パスワードとを、匿名化情報処理要求部350へ出力する。そして、ステップS6020aにおいて、匿名化情報処理要求部350は、入力されたデータIDと入力された個人パスワードとの組み合わせに対してハッシュ関数を適用する。これにより、匿名化情報処理要求部350は、削除パスワードを生成する。そして、ステップS6030aにおいて、匿名化情報処理要求部350は、生成した削除パスワードを含む削除要求を、他の匿名化情報共有装置300arへ送信し、図11の処理へ戻る。この結果、匿名化情報共有装置300asは、個人識別リスク監視部390a等により削除が指示された匿名化情報を、各匿名化情報共有装置300aの情報共有部340から削除することができる。また、本実施の形態に係る匿名化情報共有装置300arは、削除要求を他の匿名化情報共有装置300asから受信したときS7000:YES、ステップS8000aとして、実施の形態1とは異なる匿名化情報削除処理を実行する。このように、本実施の形態に係る匿名化情報共有装置300aは、匿名化情報毎に異なるデータIDと、ユーザ毎に異なる個人パスワードとに対して一方向性関数を適用した結果を、削除パスワードとして用いる。これにより、本実施の形態に係る匿名化情報共有装置300aは、削除要求の出力元の匿名性を確保することができる。なお、匿名化情報共有装置300aは、データIDのみ、あるいは個人属性情報の一部または全部等、匿名化情報毎に異なるような他の情報に対して一方向性関数を適用して、削除パスワードを生成しても良い。また、匿名化情報共有装置300aは、ハッシュ関数を適用して認証IDおよび削除パスワードを生成する際に、匿名化情報に含まれる、時刻レンジ、位置レンジ、あるいはデータIDのみ等を、削除パスワードと組み合わせても良い。また、匿名化情報共有装置300aは、上述の例以外の基準を用いて、個人識別リスクが高いか否かを判断しても良い。例えば、匿名化情報共有装置300aは、ユーザの行動履歴が一定時間以上連続している場合に、個人識別リスクが高いと判断し、その連続性が失われるように、一部の匿名化情報を削除するようにしても良い。また、削除要求の送信は、必ずしも匿名化情報の送信を行った装置と同一の装置から行われなくても良い。例えば、削除要求の送信は、ユーザが同一である等、匿名化情報の出力元という観点において同一視することができる別の装置から行われても良い。この場合、削除要求を行う装置は、匿名化情報を送信した装置で用いられた削除パスワードを、なんらかの秘密通信手段により取得する必要がある。このようなシステム構成によっても、出力元による匿名化情報に対する管理の継続が可能である。また、以上説明した各実施の形態では、削除パスワードおよび認証IDを生成する際に用いる一方向性関数をハッシュ関数としたが、他の各種の一方向性関数を用いることができる。また、共有化された匿名化情報に対して行う処理は、削除に限定されない。例えば、本実施の形態は、匿名化情報の内容に対する修正、他の匿名化情報共有装置における匿名化情報の管理状態の変更第三者への公開の禁止等等、匿名化情報の出力元にのみ許可されるような各種処理を適用することができる。2010年8月6日出願の特願2010-177540の日本出願に含まれる明細書、図面および要約書の開示内容は、すべて本願に援用される。