"複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する個人情報データベースと、前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶するアルゴリズム定義部と、前記個人情報データベースに記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する記載内容変更部と、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する記載内容別提供者数算出部と、前記各提供者数のうちの最小値を所定の基準値と比較する比較部とを含み、前記記載内容変更部が、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返す情報処理装置。請求項1に記載の情報処理装置であって、前記記載内容変更部は、前記最小値が前記基準値以上である場合には、変更後の各記載内容をそれぞれ匿名情報として匿名情報データベースに記録することを特徴とする情報処理装置。請求項1又は請求項2に記載の情報処理装置であって、前記アルゴリズム識別情報が、各アルゴリズムに基づいて記載内容を変更した場合に見込まれる変更後の記載内容の該当者数に応じて定められることを特徴とする情報処理装置。請求項1乃至請求項3のいずれかに記載の情報処理装置であって、前記記載内容変更部が、前記アルゴリズム定義部に記憶されているアルゴリズムに従って各記載内容を変更する際に、変更後の記載内容の該当者数が少ないと見込まれるアルゴリズムから順に各アルゴリズムを選択することを特徴とする情報処理装置。請求項1乃至請求項4のいずれかに記載の情報処理装置であって、前記個人情報データベースに記憶されている各個人情報の記載内容を変更した結果、一旦、前記最小値が前記基準値以上となった後に、前記個人情報データベースに記憶されている個人情報のいずれかが削除された場合には、前記記載内容変更部が、前記個人情報データベースに記憶されている残りの各個人情報について、前記最小値が前記基準値以上になるまで再度各記載内容を変更することを特徴とする情報処理装置。請求項1乃至請求項4のいずれかに記載の情報処理装置であって、前記個人情報データベースに記憶されている各個人情報の記載内容の変更した結果、一旦、前記最小値が前記基準値以上となった後に、前記個人情報データベースに記憶されている個人情報のいずれかが削除された場合には、前記記載内容別提供者数算出部が、前記削除された個人情報以外の各個人情報について、変更後の記載内容に変更される個人情報の提供者数を、変更後の記載内容毎に再度算出し、前記比較部が、前記各提供者数のうちの最小値を所定の基準値と再度比較し、前記記載内容変更部が、前記最小値が前記基準値以上でない場合に、前記個人情報データベースに記憶されている残りの各個人情報について、前記最小値が前記基準値以上になるまで再度各記載内容を変更することを特徴とする情報処理装置。請求項1乃至請求項6のいずれかに記載の情報処理装置であって、前記各個人情報は、前記情報処理装置と通信可能に接続される複数の携帯電話機のそれぞれの位置情報を含むことを特徴とする情報処理装置。請求項1乃至請求項7のいずれかに記載の情報処理装置であって、前記個人情報データベースに記憶される各個人情報の提供元である複数の提供者端末と、前記匿名情報データベースに記憶される各匿名情報を利用した情報を処理し、前記情報処理の結果を前記提供者端末に送信するサービス提供者サーバと、に通信可能に接続され、前記匿名情報データベースに記憶されている各匿名情報を、前記サービス提供者サーバに送信する匿名情報提供部と、を備えることを特徴とする情報処理装置。複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶し、前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶し、前記記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更し、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出し、前記各提供者数のうちの最小値を所定の基準値と比較し、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返す制御方法。複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する手順と、前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶する手順と、前記記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する手順と、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する手順と、前記各提供者数のうちの最小値を所定の基準値と比較する手順と、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返す手順と、をコンピュータに実行させるプログラム。しかし、個人情報を匿名化したからと言って、個人情報の提供者が特定されないとは、必ずしも、言えない。例えば、匿名化した個人情報の該当者が一人しかいなければ、その個人情報の提供者を特定することは、可能である。そのため、匿名化後の個人情報の該当者が所定人数以上存在することを保証するように個人情報を匿名化する技術が、求められている。本発明は、上記課題を鑑みてなされたものである。本発明の目的は、匿名化後の個人情報の該当者が所定人数以上存在することを保証するように個人情報を匿名化する情報処理装置、制御方法及びプログラムを提供することにある。本発明の情報処理装置は、複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する個人情報データベースと、前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶するアルゴリズム定義部と、前記個人情報データベースに記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する記載内容変更部と、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する記載内容別提供者数算出部と、前記各提供者数のうちの最小値を所定の基準値と比較する比較部とを含み、前記記載内容変更部が、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返すことを特徴とする。また、本発明の制御方法は、複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶し、前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶し、前記記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更し、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出し、前記各提供者数のうちの最小値を所定の基準値と比較し、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返すことを特徴とする。また、本発明のプログラムは、複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する手順と、前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶する手順と、を備える情報処理装置に、前記記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する手順と、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する手順と、前記各提供者数のうちの最小値を所定の基準値と比較する手順と、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで記憶されている各個人情報の記載内容を変更する処理を繰り返す手順とをコンピュータに実行させる。その他、本願が開示する課題及びその解決方法は、発明を実施するための最良の形態の欄、及び図面にて明らかにされる。本発明の処理装置は、匿名化後の個人情報の該当者が所定人数以上存在することを保証するように個人情報を匿名化することができる。本発明の処理装置に基づき、サービス利用者は、個人が特定される不安を抱くことなく安心して個人情報を提供することができる。また、サービス利用者は、サービス利用者の個人情報を利用した便利なサービスの提供を受けることが可能となる。第一の実施の形態本発明の第1の実施形態に係る匿名性保証システム1000について、図面を参照して詳細に説明する。<全体の構成>図1に示すように、第1の実施形態に係る匿名性保証システム1000は、利用者端末100A及び100Bと、匿名性保証装置200と、サービス提供者サーバ300とがネットワーク400を介して通信可能に接続している。なお、以下では、記載の簡略化のため、利用者端末100Aと利用者端末100Bとを区別する必要が無い場合などには、適宜まとめて利用者端末100と記載する場合がある。利用者端末100Aは、匿名性保証装置200に、利用者端末100Aの利用者の個人情報を送信する。また、利用者端末100Bも、同様に、匿名性保証装置200に、利用者端末100Bの利用者の個人情報を送信する。これらの個人情報は、例えば、利用者端末100A及び100Bの利用者の電話番号、年齢、性別、住所、職業、趣味、利用者端末100A及び100Bの位置情報などである。このように、個人情報には、個人情報を取得した第三者が、個人情報の提供者を特定できる情報が含まれる。また、利用者端末100は、匿名性保証装置200に、個人情報と共に、個人情報の提供者の識別情報を送信する。識別情報は、例えば、利用者端末100A及び100Bの利用者の氏名などである。匿名性保証装置200は、利用者端末100から受信した個人情報と識別情報とを記憶する。また、匿名性保証装置200は、利用者端末100から受信した個人情報を匿名化し、匿名情報を作成する。匿名化とは、個人情報の記載内容を変更し、個人情報の提供者の特定を困難にする処理である。匿名化は、例えば、個人情報に含まれる情報量を削減する処理や、個人情報から個人を特定する困難性を高めるように個人情報の精度を下げる処理を含む。匿名化は、一般的に曖昧化と呼ぶことが出来る。匿名化の結果、異なる個人情報から生成される匿名情報が同一となる場合が生じる。例えば、利用者から提供された電話番号個人情報の下一桁を削除するように匿名化した場合には、10個の個人情報が同一の匿名情報に変換される。この処理に基づき、匿名性保証装置200は、第三者が匿名情報を取得したとしても、第三者が個人情報の提供者を特定することを困難にできる。また、詳しくは後述するが、本実施形態に係る匿名性保証装置200は、匿名化の強さを制御できる。この制御に基づき、匿名性保証装置200は、生成された匿名情報から個人を特定する際の困難性を制御できる。例えば、利用者から提供された電話番号個人情報の下二桁を削除するように匿名化した場合には、100個の個人情報が同一の匿名情報に変換されることになるため、匿名性保証装置200は、下一桁を削除する匿名化に比べて、個人の特定の困難性を高めることができる。なお、本実施形態に係る匿名性保証装置200は、匿名情報から個人を特定する際の困難性を、後述する基準匿名性として表現しており、この基準匿名性を満たすように匿名化の強さを制御する。例えば、匿名性保証装置200が利用者から提供された電話番号個人情報の下一桁を削除するように匿名化を制御している場合に、ある利用者から電話番号の提供を中止するとの申し出があり、その利用者の個人情報から生成された匿名情報を削除した結果、匿名化後の電話番号の提供者が一人しかいなくなるというケースも生じうる。この場合は、匿名化後の電話番号でも、その電話番号の提供者が一人しかいないため、その提供者は、特定されてしまう。その場合、本実施形態に係る匿名性保証装置200は、匿名化後の電話番号が基準匿名性を満たすように、例えば、基の電話番号の下二桁を削除するように匿名化を変更して、電話番号を匿名化する。匿名性保証装置200は、上記のように基準匿名性を満たすように作成した匿名情報を、サービス提供者サーバ300に送信する。サービス提供者サーバ300は、匿名性保証装置200から受信した匿名情報を利用して、上記利用者端末100の利用者向けのサービスを、利用者端末100に提供する。この匿名性保証装置200に基づき、利用者は、個人が特定される不安を抱くことなく、安心して個人情報を提供できる。また、利用者は、利用者の個人情報を利用した便利なサービスの提供を受けることが可能となる。<利用者端末の構成>利用者端末100の構成を図5に示す。利用者端末100は、個人情報送信部110と、サービス要求送信部120と、サービス受信部130とを含む。個人情報送信部110は、個人情報と識別情報とを匿名性保証装置200に送信する。サービス要求送信部120は、サービス提供者サーバ300にサービス実行要求を送信する。サービス受信部130は、サービス提供者サーバ300からサービスの実行結果を受信する。<サービス提供者サーバの構成>サービス提供者サーバ300の構成を図6に示す。サービス提供者サーバ300は、利用者端末100からサービス実行要求を受け、匿名性保証装置200から受信した匿名情報を利用して、利用者端末100の利用者へサービスを提供するための情報を処理する。そして、サービス提供者サーバ300は、情報の処理の結果である実行結果を利用者端末100に送信する。あるいは、サービス提供者サーバ300は、利用者端末100からサービス実行要求を受信しなくても、自発的に、匿名情報を利用して情報を処理し、利用者端末100にその実行結果を送信もできる。サービス提供者サーバ300は、サービス要求受信部310と、匿名情報要求部320と、匿名情報取得部330と、サービス実行部340と、サービス送信部350とを含む。サービス要求受信部310は、利用者端末100からサービス実行要求を受け付ける。匿名情報要求部320は、匿名性保証装置200に匿名情報を要求する。匿名情報取得部330は、匿名性保証装置200から匿名情報を受信する。サービス実行部340は、匿名性保証装置200から受信した匿名情報を利用して、利用者端末100の利用者へサービスを提供するための情報を処理する。サービス送信部350は、利用者端末100に処理の実行結果を送信する。<匿名性保証装置の構成>図2に示すように、本実施形態に係る匿名性保証装置200は、個人情報更新受付部210と、データベース220と、個人情報匿名化プログラム230と、匿名情報提供部240とを含む。データベース220は、個人情報データベース221と、関連情報データベース222と、匿名化レベル記憶部223と、基準匿名性記憶部224と、匿名情報データベース225とを含む。個人情報匿名化プログラム230は、匿名化制御部231と、個人情報匿名化部232と、匿名性判定部233とを含む。<ハードウェア構成>図3に示すように、匿名性保証装置200は、CPUCentralProcessingUnit201と、メモリ202と、ポート203と、ハードディスクドライブ204と、記録媒体205と、記録媒体読取装置206と、入力装置207と、出力装置208とを含むコンピュータを用いても構成することができる。CPU201は、匿名性保証装置200の全体を制御する。CPU201は、ハードディスクドライブ204に記憶された本実施の形態に係る各種の動作を行うためのコードから構成される個人情報匿名化プログラム230をメモリ202に読み出して実行し、匿名性保証装置200としての各種機能を実現する。記録媒体読取装置206は、フレキシブルディスクや磁気テープ、コンパクトディスク等の記録媒体205に記録されているプログラムやデータを読み取るための装置である。読み取られたプログラムやデータは、メモリ202やハードディスクドライブ204に格納される。従って、匿名性保証装置200は、例えば、記録媒体205に記録された個人情報匿名化プログラム230を、記録媒体読取装置206を用いて上記記録媒体205から読み取り、メモリ202やハードディスクドライブ204に記憶できる。記録媒体読取装置206は、匿名性保証装置200に内蔵されている形態とすることもできるし、外付されている形態とすることもできる。ハードディスクドライブ204は、例えば、ハードディスク装置や半導体記憶装置を用いることができる。ハードディスクドライブ204は、個人情報匿名化プログラム230及びデータベース220を記憶する。ハードディスクドライブ204が、個人情報匿名化プログラム230及びデータベース220を記憶している様子を図4に示す。入力装置207は、匿名性保証装置200へのデータ入力等のために用いられる装置であり、ユーザインタフェースとして機能する。入力装置207は、例えば、キーボードやマウスを用いることができる。出力装置208は、情報を外部に出力するための装置であり、ユーザインタフェースとして機能する。出力装置208は、例えば、ディスプレイやプリンタを用いることができる。ポート203は、通信のための装置である。例えば、匿名性保証装置200は、ネットワーク400を介した利用者端末100、サービス提供者サーバ300等の他のコンピュータとの通信を、ポート203を経由してできる。また、例えば、匿名性保証装置200は、個人情報匿名化プログラム230及びデータベース220を、ポート203を経由して、他のコンピュータからネットワーク400を介して受信し、メモリ202やハードディスクドライブ204に記憶できる。<個人情報更新受付部>図2に戻って、個人情報更新受付部210は、利用者端末100から個人情報と識別情報とを受信し、個人情報と識別情報とを個人情報データベース221に書き込む。<個人情報データベース>個人情報データベース221は、利用者端末100から受信した個人情報と識別情報とを記憶する。個人情報データベース221の一例を図7に示す。利用者端末100から送信される個人情報には、例えば、電話番号と生年月日と性別とが含まれる。利用者端末100から送信される識別情報には、例えば、利用者の氏名が含まれる。図7の個人情報データベース221は、ユーザAからユーザEまでの、5つの個人情報を記憶している。個人情報データベース221が記憶する各個人情報は、それぞれ個人情報識別番号を用いて識別される。<匿名化レベル記憶部>図2に戻って、匿名化レベル記憶部特許請求の範囲に記載のアルゴリズム定義部に相当する223は、匿名化の際に個人情報をどのように匿名化するかを、匿名化レベル特許請求の範囲に記載のアルゴリズム識別情報に相当ごとに記憶する。例えば、図8に示す匿名化レベル記憶部223の一例は、匿名化レベル1からKまでの匿名化レベル毎に、個人情報をどのように匿名化するかを記憶している。なお、図8に示す例では、匿名化レベルの値が大きいほど、匿名化の個人情報の精度を下げる度合いが大きくなる。つまり、匿名化レベルの値が大きいほど、匿名化の個人情報内の情報量が大きく削減される。例えば、図8に示す例では、匿名化レベル1で電話番号を匿名化すると、電話番号の下2桁が伏せ字になる。匿名化レベル2では下3桁、匿名化レベル3では下4桁、匿名化レベルKではすべての桁が伏せ字になる。このように、匿名化レベルが高いほど、匿名化の個人情報の精度を下げる度合いが大きくなる。また、匿名化レベルを見るだけで匿名化の程度を把握することも可能である。匿名化レベル記憶部223は、電話番号の下何桁かを伏せ字にする、生年月日の任意の桁を伏せ字にする、住所の番地を伏せ字にする、趣味や職業を上位概念化する、などのように、匿名化に応じた処理内容を、匿名化レベル毎に記載する。<関連情報データベース>関連情報データベース222の一例を図9に示す。関連情報データベース222は、個人情報データベース221に記憶されている個人情報に対して、後述する匿名化で生成される暫定匿名情報を記憶する。また、関連情報データベース222は、個人情報に含まれる個人名を別の文字列に変換することで生成される暫定匿名情報の識別子である匿名IDIdentificationを記憶する。また、関連情報データベース222は、暫定匿名情報のもとになった個人情報の識別番号と、暫定匿名情報の匿名化レベルと、暫定属性情報が同一の匿名IDの数とを暫定匿名情報毎に記憶する。暫定匿名情報は、匿名化後の電話番号と、匿名化後の生年月日と、匿名化後の性別とを含む。暫定匿名情報の匿名化レベル欄は、その暫定匿名情報がどの匿名化レベルで匿名化されたかを記憶する。<匿名情報データベース>匿名情報データベース225の一例を図10に示す。匿名情報データベース225は、匿名情報と匿名IDとを記憶する。匿名情報とは、前述した暫定匿名情報のうち、後述する基準匿名性を満たしているものを表す。匿名情報は、匿名化後の電話番号と、匿名化後の生年月日と、匿名化後の性別とを含む。匿名情報データベース225が記憶する匿名情報は、後述する匿名情報提供部240を用いて、サービス提供者サーバ300に送信される。<基準匿名性記憶部>図2に戻って、基準匿名性記憶部224は、基準匿名性特許請求の範囲に記載の所定の基準値に相当するを記憶する。ここで基準匿名性とは、本実施形態に係る匿名化に基づいて生成される匿名情報が満足する個人特定困難性の基準値である。例えば、本実施形態の匿名性保証装置200は、匿名性保証装置200が作成する全ての匿名情報を匿名属性情報が同一のもの同士でグループ化した場合に、各グループに属する匿名IDの個数の最小値が基準匿名性の値を上回るように、匿名化する。このような処理に基づき、ある匿名情報が第三者に知られたとしても、その匿名情報の基になった個人情報を提供した人数が基準匿名性の数以上であるので、個人の特定は、困難となる。基準匿名性は、例えば、匿名性保証装置200の管理者が設定する値である。<匿名化制御部>匿名化制御部231は、個人情報匿名化部232に、匿名化レベルを指定して、個人情報データベース221に記憶されている個人情報を匿名化させる。また、匿名化制御部231は、上記匿名化に基づいて生成された暫定匿名情報を関連情報データベース222から取得して、それらの暫定匿名情報が基準匿名性を満たすかどうかを匿名性判定部233に判定させる。匿名化制御部231は、判定の結果、匿名化に基づいて生成された上記匿名情報が基準匿名性を満たしていない場合には、匿名化レベルを変更して、再度、個人情報匿名化部232に個人情報を匿名化させる。また、匿名化制御部231は、判定の結果、匿名化に基づいて生成された上記暫定匿名情報が基準匿名性を満たしている場合には、関連情報データベース222から上記暫定匿名情報を読み込み、匿名情報として匿名情報データベース225に書き込む。<個人情報匿名化部>個人情報匿名化部特許請求の範囲に記載の記載内容変更部と記載内容別提供者数算出部に相当する232は、匿名化制御部231から匿名化レベルを指定した匿名化の要求を受けると、匿名化レベル記憶部223を参照し、その匿名化レベルに応じた内容で、個人情報データベース221に記憶されている個人情報の匿名化し、暫定匿名情報を作成する。また、個人情報匿名化部232は、同一の暫定匿名情報を持つグループに属する匿名IDの数後述するk-匿名性を算出する。また、個人情報匿名化部232は、匿名化の際に、個人情報データベース221が記憶する各個人名を別の文字列へと変換し匿名IDを作成する。個人情報匿名化部232は、上記暫定匿名情報と、匿名IDと、匿名化レベルと、同一の暫定匿名情報を持つグループに属する匿名IDの数と、暫定匿名情報の基となった個人情報識別番号とを関連情報データベース222に書き込む。<匿名性判定部>匿名性判定部233特許請求の範囲に記載の比較部に相当は、上記匿名化に基づいて生成される匿名情報の同一の匿名情報を持つグループに属する匿名IDの数の最小値が基準匿名性以上か否かを判定する。<匿名情報提供部>匿名情報提供部240は、サービス提供者サーバ300から匿名情報の取得要求を受けると、匿名情報データベース225から匿名情報を読み出して、サービス提供者サーバ300に送信する。<k-匿名性>なお、本実施形態において、同一の暫定匿名情報を持つグループに属する匿名IDの数のことをk-匿名性と記すこともある。k-匿名性は、もちろん、同一の匿名情報を持つグループに属する匿名IDの数や、同一の個人情報を持つグループに属する利用者の人数にも適用できる。k-匿名性k-anonymityについて、図7、図8、図11、図12を用いて説明する。本実施形態において、k-匿名性は、以下のように定義される。すなわち、個人情報を匿名化して生成される各匿名情報において、同一の匿名情報の基となった個人情報を提供した利用者が自分自身を含めk人以上存在するとき、その匿名情報のk-匿名性は、kである。k-匿名性は、匿名情報から個人を特定する困難性を表す指標になる。図7に示される個人情報データベース221に記載される個人情報を、図8に示される匿名化レベル記憶部223に記載される匿名化レベル1で匿名化すると、図11に示すような匿名情報が生成される。図11に示されるテーブルに記載される個人情報識別番号1、2の匿名情報は、電話番号、生年月日、性別の全てにおいて同一である。また、個人情報識別番号1、2の匿名情報の基となった個人情報は、匿名IDがuser_Aとuser_Bとで表される異なる2人の利用者から提供されたものであることがわかる。従って、個人情報識別番号1、2の匿名情報のk-匿名性は、それぞれ2である。一方、個人情報識別番号3、4、5の匿名情報は、自分自身以外に、電話番号、生年月日、性別の全てにおいて同一である匿名情報が存在しないため、それぞれk-匿名性は、1である。図7に示される個人情報データベース221に記載される個人情報を、図8に示される匿名化レベル記憶部223に記載される匿名化レベル2で匿名化すると、図12に示されるテーブルに記載される匿名情報が生成される。図12に示されるテーブルに記載される個人情報識別番号1、2、3で表される3つの匿名情報は、電話番号、生年月日、性別の全てにおいて同一である。また、個人情報識別番号1、2、3の匿名情報の基となった個人情報は、匿名IDがuser_A、user_B、user_Cで表される異なる3人の利用者から提供されたものであることがわかる。従って、個人情報識別番号1、2、3の匿名情報のk-匿名性は、それぞれ3である。同様に、個人情報識別番号4、5の匿名情報のk-匿名性は、それぞれ2である。<処理の流れ>本実施形態の全体の動作について詳細に説明する。<個人情報受信処理>図13のシーケンス図を参照して、利用者端末100から個人情報と識別情報とを受信したときの匿名性保証装置200の動作について説明する。個人情報更新受付部210は、利用者端末100から個人情報と識別情報とを受信するとA1、受信した個人情報と識別情報とを個人情報データベース221に書き込むA2。また、個人情報更新受付部210は、個人情報データベース221に記録されている個人情報の匿名化を匿名化制御部231に要求するA3。<匿名化>匿名化制御部231は、個人情報更新受付部210から匿名化の要求を受けると、個人情報匿名化部232に、まずは、匿名化レベルを1に指定した匿名化を指示するA4。個人情報匿名化部232は、匿名化の指示を受けると、個人情報データベース221に記憶されている個人情報と識別情報とを読み出してA5、それら個人情報と識別情報との匿名化を開始するA6。まず、個人情報匿名化部232は、各個人情報にそれぞれ付属する識別情報個人名を匿名IDに置き換える。匿名IDは、個人名を特定できない文字列である。次に、個人情報匿名化部232は、匿名化レベル記憶部223を参照して、各個人情報を、匿名化レベル1で特定される内容で匿名化し、暫定匿名情報を生成する。また、個人情報匿名化部232は、匿名化後の各暫定匿名情報に対して、暫定属性情報が同一となる匿名IDの数k-匿名性を集計する。そして、個人情報匿名化部232は、各暫定匿名情報を、匿名IDと、匿名化レベルと、暫定匿名情報が同一の匿名IDの数と、個人情報識別番号と、暫定匿名情報の基となった個人情報識別番号と、それぞれ対応付けて関連情報データベース222に記録しA7、匿名化制御部231に匿名化の完了を通知するA8。匿名化制御部231は、個人情報匿名化部232から匿名化の完了通知を受けると、関連情報データベース222に記憶されている各暫定匿名情報が、基準匿名性を満たしているか否かの判定を匿名性判定部233に要求するA9。匿名性判定部233は、基準匿名性記憶部224に記憶されている基準匿名性と、関連情報データベース222に記録されている暫定匿名情報が同一の匿名IDの数の最小値とを比較するA10。匿名性判定部233は、比較の結果、関連情報データベース222に記憶されている暫定匿名情報が同一の匿名IDの数の最小値が基準匿名性未満であれば、その旨を匿名化制御部231に通知するA11。同様に、匿名性判定部233は、比較の結果、関連情報データベース222に記憶されている暫定匿名情報が同一の匿名IDの数の最小値が基準匿名性以上であれば、その旨を匿名化制御部231に通知するA11。匿名化制御部231は、匿名性判定部233から、関連情報データベース222に記憶されている暫定匿名情報が同一の匿名IDの数の最小値が基準匿名性未満である旨の通知を受けた場合には、匿名化レベルを一つ上げて、再度、個人情報匿名化部232に、匿名化を指示するA12。以後、匿名化制御部231は、匿名性判定部233から、関連情報データベース222に記憶されている暫定匿名情報が同一の匿名IDの数の最小値が基準匿名性以上である旨の通知を受けるまで、匿名化レベルを一つずつ上げて、個人情報匿名化部232に匿名化を指示するA4~A11。一方、匿名化制御部231は、匿名性判定部233から、関連情報データベース222に記憶されている暫定匿名情報が同一の匿名IDの数の最小値が基準匿名性以上である旨の通知を受けるとA11、A12、関連情報データベース222に記憶されている暫定匿名情報を読み込みA13、読み込んだ暫定匿名情報を、匿名情報として、匿名情報データベース225に書き込むA14。<基準匿名性変更時の処理>匿名性保証装置200の管理者が、基準匿名性を変更した場合の匿名性保証装置200の動作について説明する。匿名性保証装置200の管理者が、基準匿名性を変更すると、基準匿名性記憶部224は、個人情報データベース221に記録されている個人情報の匿名化を、匿名化制御部231に要求するA3。以降の処理は、上記A4~A14と同様である。<個人情報削除要求受信時の処理>図14のシーケンス図を参照して、利用者端末100から個人情報削除要求を受信した場合の、匿名性保証装置200の動作について説明する。個人情報削除要求とは、利用者が匿名性保証装置200への個人情報の提供を中止したいと考えた場合に、その利用者の利用者端末100から送信される要求である。匿名性保証装置200は、利用者端末100から個人情報削除要求を受信した場合には、その利用者の個人情報と識別情報とを個人情報データベース221から削除すると共に、関連情報データベース222や匿名情報データベース225からも、その利用者の個人情報と識別情報とを基に生成された情報を削除する。この場合、匿名情報データベース225に記憶されているいずれかの匿名情報が基準匿名性を満たさなくなる可能性がある。そのため、本実施形態に係る匿名性保証装置200は、個人情報削除要求を受信した場合には、以下を処理する。個人情報更新受付部210は、利用者端末100から個人情報削除要求を受信するB1。そうすると、個人情報更新受付部210は、個人情報削除要求を送信してきた利用者端末100の利用者の個人情報と識別情報とを個人情報データベース221から削除するB2。また、個人情報更新受付部210は、匿名化制御部231に、その利用者の個人情報と識別情報とを基に生成されたすべての情報を、関連情報データベース222及び匿名情報データベース225からの削除を指示するB3。匿名化制御部231は、関連情報データベース222及び匿名情報データベース225から、その利用者の個人情報と識別情報とを基に生成された全ての情報を削除するB4、B5。なお、前述したように、関連情報データベース222及び匿名情報データベース225は、匿名情報と、その基となった個人情報との対応付けを、個人情報データベース221における個人情報識別番号を用いて記憶している。従って、匿名情報削除要求を受信した匿名化制御部231は、削除対象の個人情報と識別情報とを基に作成された情報を特定することができる。そして、匿名化制御部231は、匿名性判定部233に、関連情報データベース222に記録されている各暫定匿名情報が、基準匿名性を満たしているか否かの判定を要求するB6。匿名性判定部233は、基準匿名性記憶部224に記憶されている基準匿名性と、関連情報データベース222に記録されている暫定属性情報が同一の匿名IDの数の最小値とを比較するB7。匿名性判定部233は、比較の結果、関連情報データベース222に記憶されている暫定匿名情報が同一の匿名IDの数の最小値が基準匿名性未満であれば、その旨を匿名化制御部231に通知するB8。同様に、匿名性判定部233は、比較の結果、関連情報データベース222に記憶されている暫定匿名情報が同一の匿名IDの数の最小値が基準匿名性以上であれば、その旨を匿名化制御部231に通知するB8。匿名化制御部231は、匿名性判定部233から、関連情報データベース222に記憶されている暫定匿名情報が同一の匿名IDの数の最小値が基準匿名性未満である旨の通知を受けた場合にはB8、B9、匿名化レベルを一つ上げて、個人情報匿名化部232に、匿名化を指示する。この匿名化の際の匿名性保証装置200の動作は、上記で説明した個人情報受信時における動作A4~A14と同様である。一方、匿名化制御部231は、匿名性判定部233から、関連情報データベース222に記憶されている暫定匿名情報が同一の匿名IDの数の最小値が基準匿名性以上である旨の通知を受けるとB8、B9、そこで処理を終了する。本実施形態に係る匿名性保証装置200が提供する全ての匿名情報は、必ず基準匿名性を満たしていることが保証される。そのため、利用者は、個人が特定される不安を抱くことなく安心して個人情報を提供することができる。また、利用者は、利用者の個人情報を利用した便利なサービスの提供を受けることが可能となる。また、本実施形態に係る匿名性保証装置200は、サービス利用者から個人情報の追加や削除などの更新要求があった場合、又は基準匿名性に変更があった場合でも、必ず基準匿名性を満たした匿名情報を提供することが可能である。なお、本実施形態における個人情報削除要求受信時の匿名性保証装置200の動作では、個人情報データベース221が記憶する個人情報の匿名化のA4~A14前に、削除対象の情報削除後の暫定匿名情報が基準匿名性を満たしているか否か判定するB6~B9が、判定する前に個人情報データベース221に記憶されている個人情報を読み出して、匿名化を開始することもできる。この処理に基づき、匿名性保証装置200が作成する全ての匿名情報は、基準匿名性を満たす範囲の中で最小の匿名化レベルで匿名化されるようにできる。従って、本実施形態の匿名性保証装置200が提供する匿名情報は、必ず基準匿名性を満たしていることが保証されつつ、高い精度を持つことが可能となる。第2の実施形態第2の実施形態では、利用者端末100は、一例として、GPSGlobalPositioningSystemを備えた携帯電話機である。利用者端末100は、匿名性保証装置200に、利用者端末100の個人情報と携帯識別番号とを送信する。利用者端末100が送信する個人情報は、位置情報と、時刻情報とを含む。位置情報は、利用者端末100の地理的な位置を表し、緯度と経度を含む。時刻情報は、GPSで位置情報を測定した時刻を表す。携帯識別番号は、位置情報を提供した携帯電話機を特定できる情報である。利用者端末100が匿名性保証装置200に個人情報を送信するタイミングは、例えば、一定時間間隔毎としても良いし、利用者端末100が任意のタイミングで送信してもかまわない。匿名性保証装置200は、利用者端末100から受信した個人情報と携帯識別番号とを記憶する。また、匿名性保証装置200は、利用者端末100から受信した個人情報を匿名化し、匿名情報を作成する。本実施形態における匿名化は、位置情報から、個人情報を提供した利用者端末100を特定する困難性を高めるよう、位置情報の精度を下げる処理である。匿名性保証装置200は、利用者端末100から上記個人情報を受信すると、受信した個人情報を匿名化し、匿名情報を作成する。そして、匿名性保証装置200は、作成した匿名情報をサービス提供者サーバ300に送信する。サービス提供者サーバ300は、匿名性保証装置200から受信した匿名情報を利用して、利用者端末100の地理的な位置情報を考慮に入れたサービスを利用者端末100に提供する。もしくは、匿名性保証装置200から受信した匿名情報は、行動分析のデータなどに活用する応用も考えられる。<個人情報データベース>第二の実施形態における個人情報データベース221の一例を図15に示す。個人情報データベース221は、利用者端末100から受信した個人情報と携帯識別番号とを記憶する。利用者端末100から送信される個人情報は、位置情報と時刻情報とを含む。位置情報は、緯度と経度に用いて表される。図15の個人情報データベース221は、7つの個人情報を記憶している。個人情報データベース221が記憶する各個人情報は、それぞれ個人情報識別番号に基づいて識別される。個人情報データベース221は、受信した個人情報を、時刻情報の新しい順にソートして記憶してもよい。<匿名化レベル記憶部>第二の実施形態における匿名化レベル記憶部223の一例を図16に示す。匿名化レベル記憶部223は、匿名化の際に位置情報をどのように匿名化するかを、匿名化レベルごとに記憶する。例えば、図16に示す匿名化レベル記憶部223は、匿名化レベル1からKまでの匿名化レベル毎に、位置情報をどのように匿名化するかを記憶している。図16に示す例では、匿名化レベルの値が大きいほど、匿名化の際に位置情報の精度を下げる度合いが大きくなる。例えば、匿名化レベル1で緯度と経度を匿名化すると、緯度と経度の小数点以下3位以下の端数が伏せ字となる。匿名化レベル2では、小数点以下2位以下、匿名化レベル3では小数点以下1位以下、匿名化レベルKではすべての桁が伏せ字となる。このように、匿名化レベルが高いほど、匿名化の際に位置情報の精度を下げる度合いが大きくなる。<関連情報データベース>第二の実施形態における関連情報データベース222の一例を図17に示す。関連情報データベース222は、個人情報データベース221に記憶されている位置情報を匿名化して生成される暫定匿名情報と、時刻情報と、匿名IDと、暫定匿名情報のもとになった個人情報の識別番号と、暫定匿名情報の匿名化レベルと、暫定属性情報が同一の匿名IDの数とを匿名情報毎に記憶する。暫定匿名情報は、匿名化後の緯度と匿名化後の経度とを含む。暫定匿名情報の匿名化レベル欄は、その暫定匿名情報がどの匿名化レベルで匿名化されたかを記憶する。匿名ID欄は、個人情報に含まれる携帯識別番号を別の文字列に変換することで生成される暫定匿名情報の識別子を記載する。<匿名情報データベース>第二の実施形態における匿名情報データベース225の一例を図18に示す。匿名情報データベース225は、匿名情報と、時刻情報と、匿名IDとを記憶する。匿名情報とは、前述した暫定匿名情報のうち、基準匿名性を満たしているものを表す。匿名情報は、匿名化後の緯度と、匿名化後の経度とを含む。匿名情報データベース225が記憶する匿名情報は、後述する匿名情報提供部240を用いて、サービス提供者サーバ300に送信される。<基準匿名性記憶部>基準匿名性記憶部224は、基準匿名性を記憶する。ここで基準匿名性とは、本実施形態に係る匿名化に基づいて生成される匿名情報が満足する個人特定困難性の基準値である。例えば、本実施形態では、匿名性保証装置200は、作成する全ての匿名情報を、属性が同一のもの同士でグループ化した場合に各グループに属する匿名IDの個数の最小値が基準匿名性の値を上回るように、匿名化する。このような処理に基づき、ある匿名情報が第三者に知られたとしても、その匿名情報の基になった個人情報を提供した利用者端末100の台数が基準匿名性の数以上あるので、匿名性保証装置200は、個人情報を提供した利用者端末100の特定を困難にできる。基準匿名性は、例えば、匿名性保証装置200の管理者が設定する値である。<匿名化制御部>匿名化制御部231は、一定時間間隔毎に、個人情報データベース221に蓄積された個人情報を読み出す。匿名化制御部231は、個人情報匿名化部232に、匿名化レベルを指定し、上記個人情報データベース221から読み出した個人情報を匿名化する。また、匿名化制御部231は、上記匿名化に基づいて生成される暫定匿名情報を関連情報データベース222から取得して、それらの暫定匿名情報が基準匿名性を満たすかどうかを匿名性判定部233に判定させる。匿名化制御部231は、判定の結果、匿名化に基づいて生成された上記匿名情報が基準匿名性を満たしていない場合には、匿名化レベルを変更して、再度、個人情報匿名化部232に匿名化させる。また、匿名化制御部231は、判定の結果、匿名化に基づいて生成された上記暫定匿名情報が基準匿名性を満たしている場合には、関連情報データベース222から上記暫定匿名情報を読み込み、匿名情報として匿名情報データベース225に書き込む。<個人情報匿名化部>個人情報匿名化部232は、匿名化制御部231から指定される匿名化レベルに応じた内容で、個人情報データベース221に記憶されている個人情報を匿名化する。<匿名性判定部>匿名性判定部233は、上記匿名化に基づいて生成される匿名情報が基準匿名性を満たすかどうかを判定する。<匿名情報提供部>匿名情報提供部240は、匿名情報データベース225から匿名情報を読み出して、サービス提供者サーバ300に送信する。<k-匿名性>ここで、第二の実施形態における同一の匿名情報を持つ匿名IDの個数k-匿名性について、図17を用いて説明する。図17のテーブルにおいて、緯度35.02X、経度135.02Xという同一の暫定匿名情報が3つ存在している個人情報識別番号1、3、4で表される暫定匿名情報。しかし、これら3つの暫定匿名情報は、緯度35.02X、経度135.02Xで現されるエリア内に3台の利用者端末100が存在することを意味していない。何故なら、匿名IDがuser_Aで表される同一の利用者端末100が、時刻を変えて複数回、匿名性保証装置200に個人情報を送信しているからである。実質、緯度35.02X、経度135.02Xという暫定匿名情報を提供しているのは、匿名IDがuser_Aとuser_Cとで表される2台の利用者端末100である。本願発明ではk-匿名性を、匿名情報が同一となる匿名情報の個数ではなく、匿名IDの個数と定義しているので、個人情報識別番号1、3、4で表される暫定匿名情報のk-匿名性は、2である。<処理の流れ>本実施形態の全体の動作について詳細に説明する。<個人情報受信処理>図19のシーケンス図を参照して、利用者端末100から個人情報を受信したときの匿名性保証装置200の動作について説明する。個人情報更新受付部210は、利用者端末100から個人情報と携帯識別番号とを受信するとC1、受信した個人情報と携帯識別番号とを個人情報データベース221に書き込むC2。<匿名化>図19のシーケンス図を参照して、匿名化する際の匿名性保証装置200の動作について説明する。簡単のため、本実施形態において、基準匿名性は、2とする。個人情報更新受付部210は、一定時間間隔ごとに、個人情報データベース221から読み出した個人情報の匿名化を匿名化制御部231に要求するC3。あるいは、個人情報更新受付部210は、任意のタイミングで個人情報データベース221から読み出した個人情報の匿名化を匿名化制御部231に要求するように設定することもできる。匿名化制御部231は、個人情報更新受付部210から匿名化の要求を受けると、個人情報匿名化部232に、まずは、匿名化レベルを1に指定した匿名化を指示するC4。個人情報匿名化部232は、匿名化の指示を受けると、個人情報データベース221に記憶されている個人情報を読み出すC5。個人情報匿名化部232は、上記個人情報データベース221から個人情報を読み出す際に、時刻情報が新しい個人情報を読み出す。本実施形態では、匿名化する当日の日付の時刻情報を持つ個人情報を読み出すと仮定する。今、例えば、9月10日の01時00分に匿名化するとする。この場合、例えば、個人情報データベース221に、図15が示すような個人情報が記憶されていると仮定すると、個人情報匿名化部232は、個人情報識別番号1~6までの個人情報を読み出す。個人情報匿名化部232は、読み出した個人情報の匿名化を開始するC6。まず、個人情報匿名化部232は、各個人情報それぞれ含まれる携帯識別番号を匿名IDに置き換える。匿名IDは、利用者端末100を特定できない文字列である。次に、個人情報匿名化部232は、匿名化レベル記憶部223を参照して、各個人情報を、匿名化レベル1で特定される内容で匿名化し、暫定匿名情報を生成する。また、個人情報匿名化部232は、匿名化後の各暫定匿名情報に対して、暫定属性情報が同一となる匿名IDの数k-匿名性を集計する。そして、個人情報匿名化部232は、各暫定匿名情報を、個人情報識別番号と、匿名IDと、時刻情報と、匿名化レベルと、暫定属性情報が同一の匿名IDの数と、それぞれ対応付けて関連情報データベース222に記録しC7、匿名化制御部231に匿名化の完了を通知するC8。匿名化制御部231は、個人情報匿名化部232から匿名化の完了通知を受けると、関連情報データベース222に記録されている各暫定匿名情報が、基準匿名性を満たしているか否かの判定を匿名性判定部233に要求するC9。匿名性判定部233は、基準匿名性記憶部224に記憶されている基準匿名性と、関連情報データベース222に記録されている暫定属性情報が同一の匿名IDの数と、を比較するC10。匿名性判定部233は、比較の結果、関連情報データベース222に記憶されている匿名化後の個人情報の中で、一つでも基準匿名性を満たしていないものがあれば、その旨を匿名化制御部231に通知するC11、C12。匿名化制御部231は、匿名性判定部233から、関連情報データベース222に記憶されている暫定匿名情報の中で、一つでも基準匿名性を満たしていないものがあった旨の通知を受けた場合には、匿名化レベルを一つ上げて、再度、個人情報匿名化部232に、匿名化を指示するC4。以後、匿名化制御部231は、匿名性判定部233から、関連情報データベース222に記憶されている全ての暫定匿名情報が基準匿名性を満たしている旨の通知を受けるまで、匿名化レベルを一つずつ上げて、個人情報匿名化部232に匿名化を指示するC4~C11。同様に、匿名性判定部233は、比較の結果、関連情報データベース222に記憶されている全ての暫定匿名情報が基準匿名性を満たしていれば、その旨を匿名化制御部231に通知するC11、C12。本実施形態では、図17に示すように、匿名化レベル1で匿名化して生成した全ての暫定匿名情報の匿名化後の属性が同一の匿名IDの数k-匿名性が基準匿名性を満たしているので、匿名化を繰り返すことなくC13以下のステップに進む。匿名化制御部231は、匿名性判定部233から、関連情報データベース222に記憶されている全ての個人情報が基準匿名性を満たしている旨の通知を受けるとC12、関連情報データベース222に記憶されている暫定匿名情報を読み込みC13、読み込んだ暫定匿名情報を匿名情報として、匿名情報データベース225に書き込むC14。<個人情報削除要求受信時の処理>次に、図20のシーケンス図を用いて、第二の実施形態における利用者端末100から個人情報削除要求を受信した場合の匿名性保証装置200の動作を説明する。個人情報削除要求とは、利用者が匿名性保証装置200への個人情報の提供を中止したいと考えた場合に、その利用者の利用者端末100から送信される要求である。匿名性保証装置200は、利用者端末100から個人情報削除要求を受信した場合には、その利用者の個人情報と識別情報とを個人情報データベース221から削除すると共に、関連情報データベース222や匿名情報データベース225からも、その利用者の個人情報と識別情報とを基に生成された情報を削除する。この場合、匿名情報データベース225に記憶されているいずれかの匿名情報が基準匿名性を満たさなくなる可能性がある。そのため、本実施形態に係る匿名性保証装置200は、個人情報削除要求を受信した場合には、以下を処理する。現在、個人情報データベース221は、図15に示すような個人情報を記憶していると仮定する。匿名性保証装置200が、携帯識別番号Aで表される利用者端末100の利用者から個人情報削除要求を受信したと仮定して、個人情報削除要求を受信した場合の第二の実施形態における匿名性保証装置200の動作について説明する。個人情報更新受付部210は、利用者端末100から個人情報削除要求を受信するD1。そうすると、個人情報更新受付部210は、個人情報削除要求を送信してきた利用者端末100の利用者の個人情報と識別情報とを個人情報データベース221から削除するD2。また、個人情報更新受付部210は、匿名化制御部231に、その利用者の個人情報と識別情報とを基に生成されたすべての情報の、関連情報データベース222及び匿名情報データベース225からの削除を指示するD3。匿名化制御部231は、関連情報データベース222及び匿名情報データベース225から、その利用者の個人情報と識別情報とを基に生成された全ての情報を削除するD4、D5。削除後の関連情報データベース222が記憶する暫定匿名情報を、図21に示す。なお、前述したように、匿名情報データベース225は、匿名情報と、その基となった個人情報との対応付けを、個人情報データベース221における個人情報識別番号を用いて記憶している。従って、匿名情報削除要求を受信した匿名化制御部231は、削除対象の個人情報を基に作成された匿名情報を特定できる。そして、匿名化制御部231は、匿名性判定部233に、関連情報データベース222に記録されている各暫定匿名情報が、基準匿名性を満たしているか否かの判定を要求するD6。匿名性判定部233は、基準匿名性記憶部224に記憶されている基準匿名性と、関連情報データベース222が記録している同一の暫定匿名情報を持つ匿名IDの数とを比較するD7。図21を参照すると、携帯識別番号Aから受信した個人情報を基に作成された暫定匿名情報が関連情報データベース222から削除された結果、個人情報識別番号2,4,5いずれの前提匿名情報も匿名化後の属性が同一の匿名IDの数k-匿名性が基準匿名性=2を満たせなくなることがわかる。個人情報識別番号2、5の暫定匿名情報は、緯度、経度とも同一であるが、個人情報識別番号2、5の暫定匿名情報の基となった個人情報を提供した利用者端末は、匿名IDがuser_Bで表される1台である。従って、個人情報識別番号2、5の暫定匿名情報の匿名化後の属性が同一の匿名IDの数k-匿名性は、1である。これは、基準匿名性=2を満たさない。匿名性判定部233は、比較の結果、関連情報データベース222に記憶されている暫定匿名情報の中で、一つでも基準匿名性を満たしていないものがあれば、その旨を匿名化制御部231に通知するD8。同様に、匿名性判定部233は、比較の結果、関連情報データベース222に記憶されている全ての暫定匿名情報が基準匿名性を満たしていれば、その旨を匿名化制御部231に通知するD8。匿名化制御部231は、匿名性判定部233から、関連情報データベース222に記憶されている暫定匿名情報の中で、一つでも基準匿名性を満たしていないものがあった旨の通知を受けた場合にはD8、D9、匿名化レベルを一つ上げて、個人情報匿名化部232に、匿名化を指示する。この匿名化の際の匿名性保証装置200の動作は、上記説明した個人情報受信時における動作C4~C14と同様である。本実施形態では、匿名化レベル1での匿名化の結果生成した暫定匿名情報が基準匿名性を満たさないので、匿名化レベル2で再度匿名化することになる。匿名化レベル2で匿名化して生成した暫定匿名情報を図22に示す。図22において、個人情報識別番号2、4、5の暫定匿名情報は、緯度、経度とも同一で、基となった個人情報はuser_Bとuser_Cの2台の利用者端末から受信したことがわかる。従って、個人情報識別番号2、4、5の暫定匿名情報は、匿名化後の属性が同一の匿名IDの数k-匿名性が2である。この処理に基づき、すべての暫定匿名情報が基準匿名性=2を満たすので、暫定匿名情報は、匿名情報データベース225に匿名情報として記憶される図23本実施形態に係る匿名性保証装置200に基づけば、匿名性保証装置200が提供する全ての匿名情報は、必ず基準匿名性を満たしていることが保証される。そのため、利用者は、個人が特定される不安を抱くことなく安心して利用者端末の位置情報を提供することができる。また、利用者は、利用者端末の地理的な情報を利用した便利なサービスの提供を受けることが可能となる。第3の実施形態第3の実施形態では、匿名化レベル記憶部223は、緯度経度と地域メッシュコードとの対応関係を記憶するテーブルと、図24に示すような、匿名化レベルと地域メッシュコードの次数とを対応して記憶するテーブルとの、2つのテーブルを記憶する。地域メッシュコードとは、総務省が定めた統計に用いる標準地域メッシュおよび標準地域メッシュコード昭和48年行政管理庁告示第143号のことである。地域メッシュコードは、統計に利用するために、地図を緯度及び経度に沿って区画して成る区域を、識別子を用いて表現した位置情報の識別情報である。地域メッシュコードは、階層的な構造をしており、区域の広い順に、第一次メッシュ、第二次メッシュ、第三次メッシュ、2分の1地域メッシュの4階層から成る。第一次メッシュの中には、64個の第二次メッシュが包含される。第二次メッシュの中には、100個の第三次メッシュが包含される。第三次メッシュの中には、4つの2分の1地域メッシュが包含される。地域メッシュは、各階層の区域の識別子を列挙した形で表現される。第一次メッシュは、4桁の数字で表される。第一次メッシュは、20万分の1の地勢図の1図葉の区画を1単位区画としたもので、緯度差は40分、経度差は1度となっている。1辺の長さは約80kmである。一次メッシュコードは、4桁の数字で、上2桁が緯度1.5倍して分以下を切り上げたもの、下2桁が経度下2桁を表す。第二次メッシュは、第一次メッシュと合わせて3570-12のように表される。上4桁の3570が第一次メッシュを、続く12が第二次メッシュを表す。第二次メッシュは、第一次メッシュを緯線方向及び経線方向に8等分してできる区域で、1辺の長さは約10kmである。第二次メッシュコードは、2桁の数字で、上1桁が緯度方向、下1桁が経度方向を表す。第三次メッシュは、緯線方向及び経線方向に10等分してできる区域であり、緯度差は30秒、経度差は45秒で、1辺の長さは約1kmである。第三次メッシュコードは、第二次メッシュコードと同様に2桁の数字で、上1桁が緯度方向、下1桁が経度方向を表す。これに第一次第二次メッシュコードを合せて、第三次メッシュは、3570-12-34のように表す。さらに細かな地域区分として2分の1地域メッシュがある。2分の1地域メッシュは、第三次メッシュを縦横に2等分したものである。南西側のメッシュを1、南東を2、北西を3、北東を4として、2分の1地域メッシュは、3570-12-34-3のように表す。本実施形態における個人情報匿名化について図19を用いて説明する。第二の実施形態との差異があるのはC6のステップである。まず、個人情報匿名化部232は、各個人情報にそれぞれ含まれる携帯識別番号を匿名IDに置き換える。匿名IDは、利用者端末100を特定できない文字列である。次に、個人情報匿名化部232は、匿名化レベル記憶部223を参照して、各個人情報の緯度、経度で表される位置情報を地域メッシュコードに変換する。それから、個人情報匿名化部232は、地域メッシュコードに変換された各個人情報の位置情報に対して、図24に示すような匿名化レベルと処理内容とを対応させたテーブルを参照して、匿名化レベル1で特定される内容で匿名化し、暫定匿名情報を生成する。また、個人情報匿名化部232は、匿名化後の各暫定匿名情報に対して、暫定属性情報が同一となる匿名IDの数k-匿名性を集計する。他の処理に関しては、第二の実施形態と同様である。本実施形態に係る匿名性保証装置200に基づけば、匿名性保証装置200が提供する全ての匿名情報は、必ず基準匿名性を満たしていることが保証される。そのため、利用者は、個人が特定される不安を抱くことなく安心して個人情報を提供することができる。また、利用者は、利用者端末の地理的な情報を利用した便利なサービスの提供を受けることが可能となる。また、地域メッシュコードは、総務省が定めたものであり、各種統計によく用いられている。従って、匿名性保証装置200から受信した匿名情報を、行動分析のデータなどに活用したときに、例えば、他の統計情報と組み合わせて分析することが容易である。もちろん、地域メッシュコードは、総務省が定めたもの以外にも、独自に作成したものを用いても良い。その他の実施形態匿名化レベル記憶部特許請求の範囲に記載のアルゴリズム定義部に相当する223が記憶する処理内容は、個人情報の記載内容の一部を削除する処理を含むことができる。匿名化レベル記憶部特許請求の範囲に記載のアルゴリズム定義部に相当する223が記憶する処理内容は、個人情報の記載内容の一部をより上位概念の語句に置き換える処理を含むことができる。個人情報データベース221が記憶する個人情報は、匿名性保証装置特許請求の範囲に記載の情報処理装置に相当する200と通信可能に接続される複数の携帯電話機のそれぞれの位置情報を含むことができる。各携帯電話機の位置情報は、各携帯電話機の所在地の緯度および経度を示す情報を含むことができる。匿名化レベル記憶部223が記憶する処理内容は、緯度および経度の少なくとも一方の精度を下げる処理を含むことができる。匿名化レベル記憶部特許請求の範囲に記載のアルゴリズム定義部に相当する223は、地図を緯度及び経度に沿って階層的に区画して成る最下層の区域をその区域を包含する各階層の区域の識別子を階層順に列挙して表現した識別情報と、最下層の区域の範囲を緯度及び経度で表した情報とを各最下層の区域についてそれぞれ対応付けて記憶すると共に、最下層の区域の識別情報を構成する各階層の識別子のうち、最下層の識別子からどの階層までの識別子を削除するかを示す複数のアルゴリズムを、より上位階層まで削除するアルゴリズムほど大きな数値となるアルゴリズム識別情報と対応付けて記憶することができる。個人情報匿名化部特許請求の範囲に記載の記載内容変更部と記載内容別提供者数算出部に相当する232は、アルゴリズム定義部を参照し、個人情報データベース221に記憶されている各携帯電話機の所在地の緯度及び経度を示す各情報を、それぞれ対応する最下層の区域の識別情報に変換し、各識別情報を構成する各階層の識別子のうち最下層の識別子からアルゴリズムで定まる階層の識別子までを削除することができる。アルゴリズムは、個人情報の記載内容の一部を削除する処理を含むことができる。アルゴリズムは、個人情報の記載内容の一部をより上位概念の語句に置き換える処理を含むことができる。各携帯電話機の位置情報は、各携帯電話機の所在地の緯度および経度を示す情報を含むことができる。アルゴリズムは、緯度および経度の少なくとも一方の精度を下げる処理を含むことができる。アルゴリズム定義部は、地図を緯度及び経度に沿って階層的に区画して成る最下層の区域をその区域を包含する各階層の区域の識別子を階層順に列挙して表現した識別情報と、最下層の区域の範囲を緯度及び経度で表した情報とを各最下層の区域についてそれぞれ対応付けて記憶すると共に、最下層の区域の識別情報を構成する各階層の識別子のうち、最下層の識別子からどの階層までの識別子を削除するかを示す複数のアルゴリズムを、より上位階層まで削除するアルゴリズムほど大きな数値となるアルゴリズム識別情報と対応付けて記憶することができる。記載内容変更部は、アルゴリズム定義部を参照し、個人情報データベースに記憶されている各携帯電話機の所在地の緯度及び経度を示す各情報を、それぞれ対応する最下層の区域の識別情報に変換し、各識別情報を構成する各階層の識別子のうち最下層の識別子からアルゴリズムで定まる階層の識別子までを削除することができる。なお、本発明の匿名性保証装置は、図2に示す構成に限らない。図25は、本発明の別の実施形態に係る匿名性保証装置250の構成の一例を示すブロック図である。図25において、図2と同じ構成には同じ番号を付し詳細な説明は、省略する。図25に示す匿名性保証装置250は、個人情報データベース221と、匿名化レベル記憶部223と、個人情報匿名化部232と、匿名性判定部233とを含む。個人情報匿名化部232は、記載内容変更部234と、記載内容別提供者数算出部235とを含む。個人情報データベース221は、複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する。匿名化レベル記憶部223は、各個人情報の記載内容を匿名化する内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶する。記載内容変更部234は、個人情報データベース221に記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する。記載内容別提供者数算出部235は、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する。匿名性判定部233は、各提供者数のうちの最小値を所定の基準値と比較する。そして、記載内容変更部234が、最小値が基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで個人情報データベース221に記憶されている各個人情報の記載内容を変更する。匿名性保証装置250は、これら処理を繰り返すして、匿名性保証装置200と同様の効果を実現する。ここで、匿名性保証装置250は、特許請求の範囲に記載の情報処理装置に相当し、匿名化レベル記憶部223は、特許請求の範囲に記載のアルゴリズム定義部に相当し、匿名性判定部233は、特許請求の範囲の比較部に相当する。なお図25に示す匿名性保証装置250は、本発明の最小構成となっている。以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。この出願は、2010年5月10日に出願された日本出願特願2010-108050を基礎とする優先権を主張し、その開示の全てをここに取り込む。"