公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラム
【課題】重要属性に対する匿名化を行う。
【解決手段】データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類し、重要情報の属性値を匿名化する。
【解決手段】データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類し、重要情報の属性値を匿名化する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、医療情報などの公開情報に対するプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムに関する。
【背景技術】
【０００２】
従来より、多くのデータに基づいて、統計処理を行って、例えば、特定の病気にかかりやすい年代、性別、地域、人種といった情報を広く公開して、その傾向分析を行い、その対策に用いる場合がある。
【０００３】
ところが、データを公開する場合において、データの所有者のプライバシーを保護するため、データの変形を行う必要がある。これまでの手法においては、擬ＩＤ情報に対して最適ｋ−匿名性を満たすための匿名化手法を提案していた（例えば、非特許文献１参照。）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Ｂ．Ｆｕｎｇ ａｎｄ Ｋ．Ｗａｎｇ ａｎｄ Ｐ．Ｙｕ，“Ｔｏｐ−ｄｏｗｎ ｓｐｅｃｉａｌｉｚａｔｉｏｎ ｆｏｒ ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖａｔｉｏｎ”Ｐｒｏｃ ｏｆ ＩＣＤＥ ２００５ ｐｐ．２０５−２１６
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、重要属性と呼ばれる擬ＩＤ情報の属性情報についても、複数の重要属性の組合せからデータ所有者を特定できる可能性があるという問題点があった。
【０００６】
そこで、本発明は、上述の課題に鑑みてなされたものであり、重要属性に対する匿名化を行う公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
発明者は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。
【０００８】
（１）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護装置であって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する分類手段と、前記重要情報の属性値を匿名化する匿名化手段と、を備えたことを特徴とする公開情報のプライバシー保護装置を提案している。
【０００９】
この発明によれば、分類手段は、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。匿名化手段は、重要情報の属性値を匿名化する。つまり、近年、重要属性と呼ばれる擬ＩＤ情報の属性情報についても、複数の重要属性の組合せからデータ所有者を特定できる可能性がある。しかし、本発明においては、重要情報についても匿名化するため、上記のような危険性を回避することができる。
【００１０】
（２）本発明は、（１）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）を匿名化した上で、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）を匿名化することを特徴とする公開情報のプライバシー保護装置を提案している。
【００１１】
この発明によれば、匿名化手段が、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）を匿名化した上で、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）を匿名化する。つまり、準識別子が匿名化されている前提の下で、重要情報の匿名化を行うため、複数の重要属性の組合せからデータ所有者を特定することを防止することができる。
【００１２】
（３）本発明は、（１）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記重要情報のある属性値を消去することにより、属性値の匿名化を行うことを特徴とする公開情報のプライバシー保護装置を提案している。
【００１３】
この発明によれば、匿名化手段が、重要情報のある属性値を消去することにより、属性値の匿名化を行う。したがって、属性情報の粒度を下げることなく、効率的に重要情報の匿名化を行うことができる。
【００１４】
（４）本発明は、（１）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記重要情報のある属性値を任意の属性値に置き換えることにより、属性値の匿名化を行うことを特徴とする公開情報のプライバシー保護装置を提案している。
【００１５】
この発明によれば、匿名化手段が、重要情報のある属性値を任意の属性値に置き換えることにより、属性値の匿名化を行う。したがって、属性情報の粒度を下げることなく、効率的に重要情報の匿名化を行うことができる。
【００１６】
（５）本発明は、（１）から（４）の公開情報のプライバシー保護装置について、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋを設定する設定手段を備え、前記匿名化手段が、該組み合わせ数がｋ以上となるように匿名化することを特徴とする公開情報のプライバシー保護装置を提案している。
【００１７】
この発明によれば、設定手段は、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋを設定する。そして、匿名化手段が、組み合わせ数がｋ以上となるように匿名化する。したがって、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合であっても、確実に安全性を担保することができる。
【００１８】
（６）本発明は、（１）または（５）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、該初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出するペア抽出手段と、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する表作成手段と、を備え、該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記ペア抽出手段、グループ抽出手段および表作成手段の処理を行い、変形した表を出力することを特徴とする公開情報のプライバシー保護装置を提案している。
【００１９】
この発明によれば、初期処理手段は、分類手段が、区分した表に対して、準識別子の属性を匿名化する。ペア抽出手段は、初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出する。グループ抽出手段は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。表作成手段は、グループ抽出手段が抽出したグループにおいて、ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、ペア抽出手段、グループ抽出手段および表作成手段の処理を行い、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２０】
（７）本発明は、（１）または（５）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、該初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出するペア抽出手段と、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する表作成手段と、を備え、前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力することを特徴とする公開情報のプライバシー保護装置を提案している。
【００２１】
この発明によれば、初期処理手段は、分類手段が、区分した表に対して、準識別子の属性を匿名化する。ペア抽出手段は、初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出する。グループ抽出手段は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。表作成手段は、グループ抽出手段が抽出したグループにおいて、ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２２】
（８）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護方法であって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。
【００２３】
この発明によれば、まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。次に、区分した表に対して、準識別子の属性を匿名化し、第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出して、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。さらに、第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２４】
（９）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護方法であって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。
【００２５】
この発明によれば、まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。次に、区分した表に対して、準識別子の属性を匿名化し、第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出して、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。さらに、第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２６】
（１０）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、をコンピュータに実行させるためのプログラムを提案している。
【００２７】
この発明によれば、まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。次に、区分した表に対して、準識別子の属性を匿名化し、第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出して、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。さらに、第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２８】
（１１）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、をコンピュータに実行させるためのプログラムを提案している。
【００２９】
この発明によれば、まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。次に、区分した表に対して、準識別子の属性を匿名化し、第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出して、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。さらに、第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【発明の効果】
【００３０】
本発明によれば、利用者の要求条件を考慮した公開データの作成が可能となるという効果がある。また、従来よりも最適化されたデータを得ることができるという効果がある。
【図面の簡単な説明】
【００３１】
【図１】本発明に係る公開情報のプライバシー保護装置の構成図である。
【図２】本発明の第１の実施形態に係る匿名化部の構成を示した図である。
【図３】本発明の第１の実施形態に係る初期化処理後のデータを例示した図である。
【図４】本発明の第１の実施形態に係る匿名化部の処理を例示した図である。
【図５】本発明の第１の実施形態に係る匿名化部の処理を例示した図である。
【図６】本発明の第１の実施形態に係る匿名化部の処理を例示した図である。
【図７】本発明の第１の実施形態に係るプライバシー保護装置の処理を示した図である。
【図８】本発明の第２の実施形態に係る匿名化部の構成を示した図である。
【図９】本発明の第２の実施形態に係る初期化処理後のデータを例示した図である。
【図１０】本発明の第２の実施形態に係る匿名化部の処理を例示した図である。
【図１１】本発明の第２の実施形態に係る匿名化部の処理を例示した図である。
【図１２】本発明の第２の実施形態に係る匿名化部の処理を例示した図である。
【図１３】本発明の第２の実施形態に係るプライバシー保護装置の処理を示した図である。
【発明を実施するための形態】
【００３２】
＜第１の実施形態＞
以下、本発明の第１の実施形態について、図１から図７を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。
【００３３】
＜公開情報のプライバシー保護装置の構成＞
図１を用いて、本実施形態に係る公開情報のプライバシー保護装置の構成について説明する。本実施形態に係る公開情報のプライバシー保護装置は、図１に示すように、分類部１００と、匿名化部２００と、設定部３００とから構成されている。
【００３４】
分類部１００は、入力された元データ（オリジナルデータ）をそのデータの各属性に応じて、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に分類する。なお、実際には、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を用いて、コンピュータ上のグラフィックス表示をマウスなどでポインティングすることにより、利用者が分類を行う。なお、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）に指定された属性の変更は行われない。
【００３５】
匿名化部２００は、重要情報の属性値を匿名化する。具体的には、重要情報のある属性値を消去あるいは任意の属性値に置き換えることにより、属性値の匿名化を行う。したがって、属性情報の粒度を下げることなく、効率的に重要情報の匿名化を行うことができる。設定部３００は、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋを設定する。
【００３６】
＜匿名化部の構成＞
図２を用いて、本実施形態に係る匿名化部２００の構成について説明する。本実施形態に係る匿名化部２００は、図２に示すように、初期処理部２１０と、ペア抽出部２２０と、グループ抽出部２３０と、表作成部２４０と、条件判定部２５０とから構成されている。
【００３７】
初期処理部２１０は、分類部１００が、区分した表に対して、準識別子の属性を匿名化する。ペア抽出部２２０は、初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出する。グループ抽出部２３０は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。
【００３８】
表作成部２４０は、グループ抽出部２３０が抽出したグループにおいて、ペア抽出部２２０が抽出したペア以外の残りの重要属性の値からなる表を作成する。条件判定部２５０は、作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、ペア抽出部２２０、グループ抽出部２３０および表作成部２４０の処理を行う。また、図示しない出力部は、変形した表を出力する。
【００３９】
＜匿名化部の処理＞
図３から図６を用いて、匿名化部の処理について、具体例を提示して、説明する。
【００４０】
図３は、初期化処理後のデータを例示したものである。本例によれば、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」として、「Ｂｉｒｔｈ」、「Ｚｉｐ」、「Ｎａｔｉｏｎａｌｉｔｙ」が示され、「重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）」として、「Ｐｒｏｂｌｅｍ」、「Ｗｅｉｇｈｔ」、「Ｃｏｍｍｕｔｅ」が示されている。なお、本表のうち、「＊」は、データの一般化を意味する。
【００４１】
本発明は、重要情報を匿名化するものであり、ペア抽出部２２０は、上記３つの重要情報を２つ１組のペアとする。つまり、図４は、「Ｐｒｏｂｌｅｍ」と「Ｗｅｉｇｈｔ」と（図中、（ａ））をペアにした場合を、図５は、「Ｐｒｏｂｌｅｍ」と「Ｃｏｍｍｕｔｅ」と（図中、（ａ））をペアにした場合を、図６は、「Ｗｅｉｇｈｔ」と「Ｃｏｍｍｕｔｅ」と（図中、（ａ））をペアにした場合を示している。
【００４２】
グループ抽出部２３０は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。つまり、図４の例では、「Ｐｒｏｂｌｅｍ」について、同じ属性値「Ｃｈｅｓｔ Ｐａｉｎ」（図中、（Ａ））、「Ｈｙｐｅｒｔｅｎｓｉｏｎ」（図中、（Ｂ））、「Ｏｂｅｓｉｔｙ」（図中、（Ｃ））を有するレコード（属性値の列）をグループとして抽出する。図５の例では、「Ｐｒｏｂｌｅｍ」について、同じ属性値「Ｃｈｅｓｔ Ｐａｉｎ」（図中、（Ａ））、「Ｈｙｐｅｒｔｅｎｓｉｏｎ」（図中、（Ｂ））、「Ｏｂｅｓｉｔｙ」（図中、（Ｃ））を有するレコード（属性値の列）をグループとして抽出する。また、図６の例では、「Ｗｅｉｇｈｔ」について、同じ属性値「Ｈｅａｖｙ」（図中、（Ａ））、「Ｍｅｄｉｕｍ」（図中、（Ｂ））、「Ｓｌｉｍ」（図中、（Ｃ））を有するレコード（属性値の列）をグループとして抽出する。
【００４３】
表作成部２４０は、グループ抽出部２３０が抽出したグループにおいて、ペア抽出部２２０が抽出したペア以外の残りの重要属性の値からなる表を作成する。つまり、図４、図５、図６の例では、それぞれ（ｂ）の表を作成する。
【００４４】
条件判定部２５０は、作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、ペア抽出部２２０、グループ抽出部２３０および表作成部２４０の処理を行う。本例では、ｋ＝２とすると、図４の場合、「Ｃｏｍｍｕｔｅ」には、各グループごとに、「Ｃａｒ」、「Ｗａｌｋ」、「Ｔｒａｉｎ」の３つの属性値があり、図５の場合には、「Ｗｅｉｇｈｔ」には、各グループごとに、「Ｈｅａｖｙ」、「Ｓｌｉｍ」、「Ｍｅｄｉｕｍ」の３つの属性値がある。つまり、本例では、ｋ＝２の設定に対して、各グループごとに３つの属性値があるため、条件を満たしている。
【００４５】
＜公開情報のプライバシー保護装置の処理＞
図７を用いて、公開情報のプライバシー保護装置の処理について説明する。
まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類し（ステップＳ１０１）、区分した表に対して、準識別子の属性を匿名化する（ステップＳ１０２）。
【００４６】
第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出し（ステップＳ１０３）、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する（ステップＳ１０４）。
【００４７】
第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成し（ステップＳ１０５）、作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する（ステップＳ１０６）。
【００４８】
したがって、本実施形態によれば、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００４９】
＜第２の実施形態＞
図８から図１３を用いて、本発明の第２の実施形態について説明する。
【００５０】
＜匿名化部の構成＞
図８を用いて、本実施形態に係る匿名化部２００の構成について説明する。本実施形態に係る匿名化部２００は、図８に示すように、初期処理部２１０と、ペア抽出部２２０と、グループ抽出部２３０と、表作成部２４０と、条件判定部２５１と、レコード数処理部２６０とから構成されている。なお、第１の実施形態と同一の符号を付す構成要素については、同様の機能を有することから、その詳細な説明は、省略する。
【００５１】
レコード数処理部２６０は、表作成部２４０が、作成した表が、ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返す。条件判定部２５１は、すべてのグループについて条件を満たしているか否かを判定する。そして、すべてのグループが条件を満たしたときに、図示しない出力部が、変形した表を出力する。
【００５２】
＜匿名化部の処理＞
図９から図１２を用いて、匿名化部の処理について、具体例を提示して、説明する。
【００５３】
図９は、初期化処理後のデータを例示したものである。本例によれば、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」として、「Ｂｉｒｔｈ」、「Ｚｉｐ」、「Ｎａｔｉｏｎａｌｉｔｙ」が示され、「重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）」として、「Ｐｒｏｂｌｅｍ」、「Ｗｅｉｇｈｔ」、「Ｃｏｍｍｕｔｅ」が示されている。なお、本表のうち、「＊」は、データの一般化を意味する。
【００５４】
レコード数処理部２６０は、表作成部２４０が、作成した表が、ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返す。本例では、ｋ＝２とすると、まず、図１０において、重要属性の２段目の列における属性値「Ｃｈｅｓｔ Ｐａｉｎ」および「Ｓｌｉｍ」を「＊」として一般化することにより、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｃｈｅｓｔ Ｐａｉｎ」であるときに、すべてのペアの組み合わせにおいて、属性値の数が３となり、条件を満たす。
【００５５】
また、図１１において、重要属性の２段目の列における属性値「Ｃｈｅｓｔ Ｐａｉｎ」と「Ｓｌｉｍ」および４段目の列における属性値「Ｈｙｐｅｒｔｅｎｓｉｏｎ」と「Ｈｅａｖｙ」を「＊」として一般化することにより、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｏｂｅｓｉｔｙ」であるときに、すべてのペアの組み合わせにおいて、属性値の数が３となり、条件を満たす。
【００５６】
しかしながら、図１１の状態では、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｈｙｐｅｒｔｅｎｓｉｏｎ」であるときには、条件を満たさない。そこで、図１２に示すように、さらに、重要属性の６段目の列における属性値「Ｃｈｅｓｔ Ｐａｉｎ」と「Ｍｅｄｉｕｍ」とを「＊」として一般化することにより、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｈｙｐｅｒｔｅｎｓｉｏｎ」であるときに、すべてのペアの組み合わせにおいて、属性値の数が３となり、条件を満たすようにする。なお、このままでは、重要情報「Ｃｏｍｍｕｔｅ」が全く一般化されないため、重要情報「Ｃｏｍｍｕｔｅ」の５列目の属性値「Ｔｒａｉｎ」を「＊」として一般化する。
【００５７】
＜公開情報のプライバシー保護装置の処理＞
図１３を用いて、公開情報のプライバシー保護装置の処理について説明する。
まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類し（ステップＳ２０１）、区分した表に対して、準識別子の属性を匿名化する（ステップＳ２０２）。
【００５８】
第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出し（ステップＳ２０３）、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する（ステップＳ２０４）。
【００５９】
第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成し（ステップＳ２０５）、作成した表が、ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する（ステップＳ２０６）。
【００６０】
以上、説明したように、本実施形態によれば、利用者の要求条件を考慮した公開データの作成が可能となる。また、従来よりも最適化されたデータを得ることができる。
【００６１】
なお、公開情報のプライバシー保護装置をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを公開情報のプライバシー保護装置に読み込ませ、実行することによって本発明の公開情報のプライバシー保護装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。
【００６２】
また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００６３】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００６４】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【００６５】
１００；分類部
２００；匿名化部
２１０；初期処理部
２２０；ペア抽出部
２３０；グループ抽出部
２４０；表作成部
２５０；条件判定部
２５１；条件判定部
２６０；レコード数処理部
３００；設定部
【技術分野】
【０００１】
本発明は、医療情報などの公開情報に対するプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムに関する。
【背景技術】
【０００２】
従来より、多くのデータに基づいて、統計処理を行って、例えば、特定の病気にかかりやすい年代、性別、地域、人種といった情報を広く公開して、その傾向分析を行い、その対策に用いる場合がある。
【０００３】
ところが、データを公開する場合において、データの所有者のプライバシーを保護するため、データの変形を行う必要がある。これまでの手法においては、擬ＩＤ情報に対して最適ｋ−匿名性を満たすための匿名化手法を提案していた（例えば、非特許文献１参照。）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Ｂ．Ｆｕｎｇ ａｎｄ Ｋ．Ｗａｎｇ ａｎｄ Ｐ．Ｙｕ，“Ｔｏｐ−ｄｏｗｎ ｓｐｅｃｉａｌｉｚａｔｉｏｎ ｆｏｒ ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖａｔｉｏｎ”Ｐｒｏｃ ｏｆ ＩＣＤＥ ２００５ ｐｐ．２０５−２１６
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、重要属性と呼ばれる擬ＩＤ情報の属性情報についても、複数の重要属性の組合せからデータ所有者を特定できる可能性があるという問題点があった。
【０００６】
そこで、本発明は、上述の課題に鑑みてなされたものであり、重要属性に対する匿名化を行う公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
発明者は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。
【０００８】
（１）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護装置であって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する分類手段と、前記重要情報の属性値を匿名化する匿名化手段と、を備えたことを特徴とする公開情報のプライバシー保護装置を提案している。
【０００９】
この発明によれば、分類手段は、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。匿名化手段は、重要情報の属性値を匿名化する。つまり、近年、重要属性と呼ばれる擬ＩＤ情報の属性情報についても、複数の重要属性の組合せからデータ所有者を特定できる可能性がある。しかし、本発明においては、重要情報についても匿名化するため、上記のような危険性を回避することができる。
【００１０】
（２）本発明は、（１）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）を匿名化した上で、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）を匿名化することを特徴とする公開情報のプライバシー保護装置を提案している。
【００１１】
この発明によれば、匿名化手段が、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）を匿名化した上で、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）を匿名化する。つまり、準識別子が匿名化されている前提の下で、重要情報の匿名化を行うため、複数の重要属性の組合せからデータ所有者を特定することを防止することができる。
【００１２】
（３）本発明は、（１）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記重要情報のある属性値を消去することにより、属性値の匿名化を行うことを特徴とする公開情報のプライバシー保護装置を提案している。
【００１３】
この発明によれば、匿名化手段が、重要情報のある属性値を消去することにより、属性値の匿名化を行う。したがって、属性情報の粒度を下げることなく、効率的に重要情報の匿名化を行うことができる。
【００１４】
（４）本発明は、（１）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記重要情報のある属性値を任意の属性値に置き換えることにより、属性値の匿名化を行うことを特徴とする公開情報のプライバシー保護装置を提案している。
【００１５】
この発明によれば、匿名化手段が、重要情報のある属性値を任意の属性値に置き換えることにより、属性値の匿名化を行う。したがって、属性情報の粒度を下げることなく、効率的に重要情報の匿名化を行うことができる。
【００１６】
（５）本発明は、（１）から（４）の公開情報のプライバシー保護装置について、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋを設定する設定手段を備え、前記匿名化手段が、該組み合わせ数がｋ以上となるように匿名化することを特徴とする公開情報のプライバシー保護装置を提案している。
【００１７】
この発明によれば、設定手段は、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋを設定する。そして、匿名化手段が、組み合わせ数がｋ以上となるように匿名化する。したがって、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合であっても、確実に安全性を担保することができる。
【００１８】
（６）本発明は、（１）または（５）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、該初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出するペア抽出手段と、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する表作成手段と、を備え、該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記ペア抽出手段、グループ抽出手段および表作成手段の処理を行い、変形した表を出力することを特徴とする公開情報のプライバシー保護装置を提案している。
【００１９】
この発明によれば、初期処理手段は、分類手段が、区分した表に対して、準識別子の属性を匿名化する。ペア抽出手段は、初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出する。グループ抽出手段は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。表作成手段は、グループ抽出手段が抽出したグループにおいて、ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、ペア抽出手段、グループ抽出手段および表作成手段の処理を行い、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２０】
（７）本発明は、（１）または（５）の公開情報のプライバシー保護装置について、前記匿名化手段が、前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、該初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出するペア抽出手段と、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する表作成手段と、を備え、前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力することを特徴とする公開情報のプライバシー保護装置を提案している。
【００２１】
この発明によれば、初期処理手段は、分類手段が、区分した表に対して、準識別子の属性を匿名化する。ペア抽出手段は、初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出する。グループ抽出手段は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。表作成手段は、グループ抽出手段が抽出したグループにおいて、ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２２】
（８）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護方法であって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。
【００２３】
この発明によれば、まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。次に、区分した表に対して、準識別子の属性を匿名化し、第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出して、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。さらに、第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２４】
（９）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護方法であって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。
【００２５】
この発明によれば、まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。次に、区分した表に対して、準識別子の属性を匿名化し、第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出して、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。さらに、第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２６】
（１０）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、をコンピュータに実行させるためのプログラムを提案している。
【００２７】
この発明によれば、まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。次に、区分した表に対して、準識別子の属性を匿名化し、第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出して、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。さらに、第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００２８】
（１１）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、をコンピュータに実行させるためのプログラムを提案している。
【００２９】
この発明によれば、まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する。次に、区分した表に対して、準識別子の属性を匿名化し、第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出して、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。さらに、第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する。そして、作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する。したがって、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【発明の効果】
【００３０】
本発明によれば、利用者の要求条件を考慮した公開データの作成が可能となるという効果がある。また、従来よりも最適化されたデータを得ることができるという効果がある。
【図面の簡単な説明】
【００３１】
【図１】本発明に係る公開情報のプライバシー保護装置の構成図である。
【図２】本発明の第１の実施形態に係る匿名化部の構成を示した図である。
【図３】本発明の第１の実施形態に係る初期化処理後のデータを例示した図である。
【図４】本発明の第１の実施形態に係る匿名化部の処理を例示した図である。
【図５】本発明の第１の実施形態に係る匿名化部の処理を例示した図である。
【図６】本発明の第１の実施形態に係る匿名化部の処理を例示した図である。
【図７】本発明の第１の実施形態に係るプライバシー保護装置の処理を示した図である。
【図８】本発明の第２の実施形態に係る匿名化部の構成を示した図である。
【図９】本発明の第２の実施形態に係る初期化処理後のデータを例示した図である。
【図１０】本発明の第２の実施形態に係る匿名化部の処理を例示した図である。
【図１１】本発明の第２の実施形態に係る匿名化部の処理を例示した図である。
【図１２】本発明の第２の実施形態に係る匿名化部の処理を例示した図である。
【図１３】本発明の第２の実施形態に係るプライバシー保護装置の処理を示した図である。
【発明を実施するための形態】
【００３２】
＜第１の実施形態＞
以下、本発明の第１の実施形態について、図１から図７を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。
【００３３】
＜公開情報のプライバシー保護装置の構成＞
図１を用いて、本実施形態に係る公開情報のプライバシー保護装置の構成について説明する。本実施形態に係る公開情報のプライバシー保護装置は、図１に示すように、分類部１００と、匿名化部２００と、設定部３００とから構成されている。
【００３４】
分類部１００は、入力された元データ（オリジナルデータ）をそのデータの各属性に応じて、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に分類する。なお、実際には、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を用いて、コンピュータ上のグラフィックス表示をマウスなどでポインティングすることにより、利用者が分類を行う。なお、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）に指定された属性の変更は行われない。
【００３５】
匿名化部２００は、重要情報の属性値を匿名化する。具体的には、重要情報のある属性値を消去あるいは任意の属性値に置き換えることにより、属性値の匿名化を行う。したがって、属性情報の粒度を下げることなく、効率的に重要情報の匿名化を行うことができる。設定部３００は、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋを設定する。
【００３６】
＜匿名化部の構成＞
図２を用いて、本実施形態に係る匿名化部２００の構成について説明する。本実施形態に係る匿名化部２００は、図２に示すように、初期処理部２１０と、ペア抽出部２２０と、グループ抽出部２３０と、表作成部２４０と、条件判定部２５０とから構成されている。
【００３７】
初期処理部２１０は、分類部１００が、区分した表に対して、準識別子の属性を匿名化する。ペア抽出部２２０は、初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出する。グループ抽出部２３０は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。
【００３８】
表作成部２４０は、グループ抽出部２３０が抽出したグループにおいて、ペア抽出部２２０が抽出したペア以外の残りの重要属性の値からなる表を作成する。条件判定部２５０は、作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、ペア抽出部２２０、グループ抽出部２３０および表作成部２４０の処理を行う。また、図示しない出力部は、変形した表を出力する。
【００３９】
＜匿名化部の処理＞
図３から図６を用いて、匿名化部の処理について、具体例を提示して、説明する。
【００４０】
図３は、初期化処理後のデータを例示したものである。本例によれば、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」として、「Ｂｉｒｔｈ」、「Ｚｉｐ」、「Ｎａｔｉｏｎａｌｉｔｙ」が示され、「重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）」として、「Ｐｒｏｂｌｅｍ」、「Ｗｅｉｇｈｔ」、「Ｃｏｍｍｕｔｅ」が示されている。なお、本表のうち、「＊」は、データの一般化を意味する。
【００４１】
本発明は、重要情報を匿名化するものであり、ペア抽出部２２０は、上記３つの重要情報を２つ１組のペアとする。つまり、図４は、「Ｐｒｏｂｌｅｍ」と「Ｗｅｉｇｈｔ」と（図中、（ａ））をペアにした場合を、図５は、「Ｐｒｏｂｌｅｍ」と「Ｃｏｍｍｕｔｅ」と（図中、（ａ））をペアにした場合を、図６は、「Ｗｅｉｇｈｔ」と「Ｃｏｍｍｕｔｅ」と（図中、（ａ））をペアにした場合を示している。
【００４２】
グループ抽出部２３０は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。つまり、図４の例では、「Ｐｒｏｂｌｅｍ」について、同じ属性値「Ｃｈｅｓｔ Ｐａｉｎ」（図中、（Ａ））、「Ｈｙｐｅｒｔｅｎｓｉｏｎ」（図中、（Ｂ））、「Ｏｂｅｓｉｔｙ」（図中、（Ｃ））を有するレコード（属性値の列）をグループとして抽出する。図５の例では、「Ｐｒｏｂｌｅｍ」について、同じ属性値「Ｃｈｅｓｔ Ｐａｉｎ」（図中、（Ａ））、「Ｈｙｐｅｒｔｅｎｓｉｏｎ」（図中、（Ｂ））、「Ｏｂｅｓｉｔｙ」（図中、（Ｃ））を有するレコード（属性値の列）をグループとして抽出する。また、図６の例では、「Ｗｅｉｇｈｔ」について、同じ属性値「Ｈｅａｖｙ」（図中、（Ａ））、「Ｍｅｄｉｕｍ」（図中、（Ｂ））、「Ｓｌｉｍ」（図中、（Ｃ））を有するレコード（属性値の列）をグループとして抽出する。
【００４３】
表作成部２４０は、グループ抽出部２３０が抽出したグループにおいて、ペア抽出部２２０が抽出したペア以外の残りの重要属性の値からなる表を作成する。つまり、図４、図５、図６の例では、それぞれ（ｂ）の表を作成する。
【００４４】
条件判定部２５０は、作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、ペア抽出部２２０、グループ抽出部２３０および表作成部２４０の処理を行う。本例では、ｋ＝２とすると、図４の場合、「Ｃｏｍｍｕｔｅ」には、各グループごとに、「Ｃａｒ」、「Ｗａｌｋ」、「Ｔｒａｉｎ」の３つの属性値があり、図５の場合には、「Ｗｅｉｇｈｔ」には、各グループごとに、「Ｈｅａｖｙ」、「Ｓｌｉｍ」、「Ｍｅｄｉｕｍ」の３つの属性値がある。つまり、本例では、ｋ＝２の設定に対して、各グループごとに３つの属性値があるため、条件を満たしている。
【００４５】
＜公開情報のプライバシー保護装置の処理＞
図７を用いて、公開情報のプライバシー保護装置の処理について説明する。
まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類し（ステップＳ１０１）、区分した表に対して、準識別子の属性を匿名化する（ステップＳ１０２）。
【００４６】
第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出し（ステップＳ１０３）、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する（ステップＳ１０４）。
【００４７】
第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成し（ステップＳ１０５）、作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する（ステップＳ１０６）。
【００４８】
したがって、本実施形態によれば、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。
【００４９】
＜第２の実施形態＞
図８から図１３を用いて、本発明の第２の実施形態について説明する。
【００５０】
＜匿名化部の構成＞
図８を用いて、本実施形態に係る匿名化部２００の構成について説明する。本実施形態に係る匿名化部２００は、図８に示すように、初期処理部２１０と、ペア抽出部２２０と、グループ抽出部２３０と、表作成部２４０と、条件判定部２５１と、レコード数処理部２６０とから構成されている。なお、第１の実施形態と同一の符号を付す構成要素については、同様の機能を有することから、その詳細な説明は、省略する。
【００５１】
レコード数処理部２６０は、表作成部２４０が、作成した表が、ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返す。条件判定部２５１は、すべてのグループについて条件を満たしているか否かを判定する。そして、すべてのグループが条件を満たしたときに、図示しない出力部が、変形した表を出力する。
【００５２】
＜匿名化部の処理＞
図９から図１２を用いて、匿名化部の処理について、具体例を提示して、説明する。
【００５３】
図９は、初期化処理後のデータを例示したものである。本例によれば、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」として、「Ｂｉｒｔｈ」、「Ｚｉｐ」、「Ｎａｔｉｏｎａｌｉｔｙ」が示され、「重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）」として、「Ｐｒｏｂｌｅｍ」、「Ｗｅｉｇｈｔ」、「Ｃｏｍｍｕｔｅ」が示されている。なお、本表のうち、「＊」は、データの一般化を意味する。
【００５４】
レコード数処理部２６０は、表作成部２４０が、作成した表が、ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返す。本例では、ｋ＝２とすると、まず、図１０において、重要属性の２段目の列における属性値「Ｃｈｅｓｔ Ｐａｉｎ」および「Ｓｌｉｍ」を「＊」として一般化することにより、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｃｈｅｓｔ Ｐａｉｎ」であるときに、すべてのペアの組み合わせにおいて、属性値の数が３となり、条件を満たす。
【００５５】
また、図１１において、重要属性の２段目の列における属性値「Ｃｈｅｓｔ Ｐａｉｎ」と「Ｓｌｉｍ」および４段目の列における属性値「Ｈｙｐｅｒｔｅｎｓｉｏｎ」と「Ｈｅａｖｙ」を「＊」として一般化することにより、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｏｂｅｓｉｔｙ」であるときに、すべてのペアの組み合わせにおいて、属性値の数が３となり、条件を満たす。
【００５６】
しかしながら、図１１の状態では、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｈｙｐｅｒｔｅｎｓｉｏｎ」であるときには、条件を満たさない。そこで、図１２に示すように、さらに、重要属性の６段目の列における属性値「Ｃｈｅｓｔ Ｐａｉｎ」と「Ｍｅｄｉｕｍ」とを「＊」として一般化することにより、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｈｙｐｅｒｔｅｎｓｉｏｎ」であるときに、すべてのペアの組み合わせにおいて、属性値の数が３となり、条件を満たすようにする。なお、このままでは、重要情報「Ｃｏｍｍｕｔｅ」が全く一般化されないため、重要情報「Ｃｏｍｍｕｔｅ」の５列目の属性値「Ｔｒａｉｎ」を「＊」として一般化する。
【００５７】
＜公開情報のプライバシー保護装置の処理＞
図１３を用いて、公開情報のプライバシー保護装置の処理について説明する。
まず、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類し（ステップＳ２０１）、区分した表に対して、準識別子の属性を匿名化する（ステップＳ２０２）。
【００５８】
第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出し（ステップＳ２０３）、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する（ステップＳ２０４）。
【００５９】
第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成し（ステップＳ２０５）、作成した表が、ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する（ステップＳ２０６）。
【００６０】
以上、説明したように、本実施形態によれば、利用者の要求条件を考慮した公開データの作成が可能となる。また、従来よりも最適化されたデータを得ることができる。
【００６１】
なお、公開情報のプライバシー保護装置をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを公開情報のプライバシー保護装置に読み込ませ、実行することによって本発明の公開情報のプライバシー保護装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。
【００６２】
また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００６３】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００６４】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【００６５】
１００；分類部
２００；匿名化部
２１０；初期処理部
２２０；ペア抽出部
２３０；グループ抽出部
２４０；表作成部
２５０；条件判定部
２５１；条件判定部
２６０；レコード数処理部
３００；設定部
【特許請求の範囲】
【請求項１】
ユーザからのデータを公開する場合の公開情報のプライバシー保護装置であって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する分類手段と、
前記重要情報の属性値を匿名化する匿名化手段と、
を備えたことを特徴とする公開情報のプライバシー保護装置。
【請求項２】
前記匿名化手段が、前記準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）を匿名化した上で、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）を匿名化することを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
【請求項３】
前記匿名化手段が、前記重要情報のある属性値を消去することにより、属性値の匿名化を行うことを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
【請求項４】
前記匿名化手段が、前記重要情報のある属性値を任意の属性値に置き換えることにより、属性値の匿名化を行うことを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
【請求項５】
攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋを設定する設定手段を備え、
前記匿名化手段が、該組み合わせ数がｋ以上となるように匿名化することを特徴とする請求項１から請求項４に記載の公開情報のプライバシー保護装置。
【請求項６】
前記匿名化手段が、
前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、
該初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出するペア抽出手段と、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、
該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する表作成手段と、
を備え、
該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記ペア抽出手段、グループ抽出手段および表作成手段の処理を行い、変形した表を出力することを特徴とする請求項１または請求項５に記載の公開情報のプライバシー保護装置。
【請求項７】
前記匿名化手段が、
前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、
該初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出するペア抽出手段と、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、
該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する表作成手段と、
を備え、
前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力することを特徴とする請求項１または請求項５に記載の公開情報のプライバシー保護装置。
【請求項８】
ユーザからのデータを公開する場合の公開情報のプライバシー保護方法であって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、
該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、
を備えたことを特徴とする公開情報のプライバシー保護方法。
【請求項９】
ユーザからのデータを公開する場合の公開情報のプライバシー保護方法であって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、
前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、
を備えたことを特徴とする公開情報のプライバシー保護方法。
【請求項１０】
ユーザからのデータを公開する場合の公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、
該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、
をコンピュータに実行させるためのプログラム。
【請求項１１】
ユーザからのデータを公開する場合の公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、
前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、
をコンピュータに実行させるためのプログラム。
【請求項１】
ユーザからのデータを公開する場合の公開情報のプライバシー保護装置であって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する分類手段と、
前記重要情報の属性値を匿名化する匿名化手段と、
を備えたことを特徴とする公開情報のプライバシー保護装置。
【請求項２】
前記匿名化手段が、前記準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）を匿名化した上で、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）を匿名化することを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
【請求項３】
前記匿名化手段が、前記重要情報のある属性値を消去することにより、属性値の匿名化を行うことを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
【請求項４】
前記匿名化手段が、前記重要情報のある属性値を任意の属性値に置き換えることにより、属性値の匿名化を行うことを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
【請求項５】
攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋを設定する設定手段を備え、
前記匿名化手段が、該組み合わせ数がｋ以上となるように匿名化することを特徴とする請求項１から請求項４に記載の公開情報のプライバシー保護装置。
【請求項６】
前記匿名化手段が、
前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、
該初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出するペア抽出手段と、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、
該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する表作成手段と、
を備え、
該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記ペア抽出手段、グループ抽出手段および表作成手段の処理を行い、変形した表を出力することを特徴とする請求項１または請求項５に記載の公開情報のプライバシー保護装置。
【請求項７】
前記匿名化手段が、
前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、
該初期処理後の表から２つの重要属性を１組としたすべてのペアを抽出するペア抽出手段と、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、
該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの重要属性の値からなる表を作成する表作成手段と、
を備え、
前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力することを特徴とする請求項１または請求項５に記載の公開情報のプライバシー保護装置。
【請求項８】
ユーザからのデータを公開する場合の公開情報のプライバシー保護方法であって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、
該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、
を備えたことを特徴とする公開情報のプライバシー保護方法。
【請求項９】
ユーザからのデータを公開する場合の公開情報のプライバシー保護方法であって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、
前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、
を備えたことを特徴とする公開情報のプライバシー保護方法。
【請求項１０】
ユーザからのデータを公開する場合の公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、
該作成した表が攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、
をコンピュータに実行させるためのプログラム。
【請求項１１】
ユーザからのデータを公開する場合の公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
該第２のステップ後の表から２つの重要属性を１組としたすべてのペアを抽出する第３のステップと、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの重要属性の値からなる表を作成する第５のステップと、
前記作成した表が、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋ個未満の属性値の組合せをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、
をコンピュータに実行させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１３−８４０２７（Ｐ２０１３−８４０２７Ａ）
【公開日】平成２５年５月９日（２０１３．５．９）
【国際特許分類】
【出願番号】特願２０１１−２２１５３２（Ｐ２０１１−２２１５３２）
【出願日】平成２３年１０月６日（２０１１．１０．６）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
【公開日】平成２５年５月９日（２０１３．５．９）
【国際特許分類】
【出願日】平成２３年１０月６日（２０１１．１０．６）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
[ Back to top ]