CN114930331A - 匿名加工评价系统、匿名加工评价方法以及匿名加工评价程序 - Google Patents

Abstract

数据受理部(110)受理个人信息数据、匿名加工后数据以及方法确定数据。方法评价部(120)基于所述个人信息数据和所述匿名加工后数据进行如下的方法评价：判定是否应用通过所述方法确定数据确定的匿名加工规则而进行了从个人信息向匿名加工后的个人信息的转换。基准评价部(130)基于基准判定数据进行如下的基准评价：判定针对基准判定规则的匿名加工基准，该基准判定规则与通过所述方法确定数据确定的匿名加工规则一致。结果输出部(140)对所述方法评价的结果和所述基准评价的结果进行综合并输出。

Description

匿名加工评价系统、匿名加工评价方法以及匿名加工评价 程序

技术领域

本公开涉及评价对个人信息实施的匿名加工的技术。

背景技术

通过因特网技术的发展，运营商收集并有效利用个人数据的努力变得活跃。

在利用个人数据时，存在以下动作：在对个人数据实施了使个人的识别变得困难的加工的基础上，有效利用加工后的个人数据。由此，实现了个人数据的保护和个人数据的有效利用双方。

作为使个人数据的识别变得困难的加工技术，具有匿名加工技术。

在匿名加工技术中，具有k-匿名化和差分隐私方式等多个方式。通过单独地采用各方式或者组合地采用多个方式而生成匿名加工后的数据。

在利用匿名加工技术时，用于实施匿名加工的方法(匿名加工方法)需要评价是否为用于使个人的识别变得困难的适当的方法。

在专利文献1中，公开了一种能够对进行了k-匿名化处理的数据进行评价的评价方法。

现有技术文献

专利文献

专利文献1：日本特开2017-228255号公报

发明内容

发明要解决的问题

匿名加工方法是否适当的评价基准有时由法律制度决定。例如，在日本的法律中，在与个人信息的保护相关的法律(根据平成15年法律第57号、平成27年法律第65号以及平成28年法律第51号修改)第36条第1项以及与个人信息的保护相关的法律执行规则(平成28年个人信息保护委员会规则第3号)第19条中示出5个基准。因此，关于匿名加工方法是否适当，也能够参照写入法律制度的基准，来评价是否依据了该基准。

专利文献1的方法基于对个人数据与匿名加工后的数据进行比较而得到的结果的统计值，来评价匿名加工方法是否适当。在专利文献1中，未考虑法律制度的依据性。

此外，在评价匿名加工方法的法律制度依据时，还需要评价是否使用匿名加工的实施者所希望的匿名加工方法而生成了匿名加工后的数据。

但是，专利文献1的方法只着眼于个人数据和匿名化加工后的数据。在专利文献1中，未考虑所使用的匿名加工方法是否为希望的匿名加工方法。

本公开的目的在于，能够评价法律制度的依据性，并且能够评价匿名加工后的数据是否确实通过评价对象的匿名加工方法而被加工的。

用于解决问题的手段

本公开的匿名加工评价系统具备：数据受理部，其受理表示个人信息的个人信息数据、表示匿名加工后的个人信息的匿名加工后数据、以及用于确定针对所述个人信息的匿名加工规则的方法确定数据；方法评价部，其基于所述个人信息数据和所述匿名加工后数据进行方法评价，在该方法评价中，判定是否应用通过所述方法确定数据确定的匿名加工规则而进行了从所述个人信息向所述匿名加工后的个人信息的转换；基准评价部，其基于基准判定数据进行基准评价，该基准判定数据表示针对1个以上的匿名加工基准的1个以上的基准判定规则，在该基准评价中，判定针对与通过所述方法确定数据确定的匿名加工规则一致的基准判定规则的匿名加工基准；以及结果输出部，其对所述方法评价的结果和所述基准评价的结果进行综合并输出。

发明的效果

根据本公开，能够通过基准评价来评价法律制度的依据性，并且，能够通过方法评价来评价匿名加工后的数据确实是通过评价对象的匿名加工方法而被加工的。

附图说明

图1是实施方式1中的匿名加工评价系统100S和匿名加工评价装置100的结构图。

图2是实施方式1中的匿名加工评价方法的流程图。

图3是示出实施方式1中的个人信息数据191的图。

图4是示出实施方式1中的匿名加工后数据192的图。

图5是示出实施方式1中的匿名加工方法数据193的图。

图6是实施方式1中的方法评价(S120)的流程图。

图7是示出实施方式1中的基准判定数据194的图。

图8是实施方式1中的基准评价(S130)的流程图。

图9是实施方式1中的基准评价(S130)的流程图。

图10是实施方式1中的结果输出(S140)的流程图。

图11是示出实施方式1中的评价画面195的图。

图12是实施方式2中的匿名加工评价装置100的结构图。

图13是实施方式2中的匿名加工评价方法的流程图。

图14是示出实施方式2中的匿名加工程序196的图。

图15是示出实施方式2中的匿名加工代码数据197的图。

图16是实施方式2中的程序分析(S220)的流程图。

图17是示出实施方式2中的匿名加工方法数据198的图。

图18是实施方式中的匿名加工评价装置100的硬件结构图。

具体实施方式

在实施方式和附图中，针对相同的要素或者对应的要素标注相同的标号。适当省略或简化标注了与已经说明的要素相同的标号的要素的说明。图中的箭头主要表示数据流或者处理流程。

实施方式1.

基于图1至图11对匿名加工评价系统100S进行说明。

＊＊＊结构的说明＊＊＊

基于图1，对匿名加工评价系统100S和匿名加工评价装置100的结构进行说明。

匿名加工评价系统100S具备匿名加工评价装置100。另外，匿名加工评价装置100也可以由2台以上的装置(计算机)实现。

匿名加工评价装置100是具备处理器101、存储器102、辅助存储装置103、通信装置104及输入输出接口105这样的硬件的计算机。这些硬件经由信号线相互连接。

处理器101是进行运算处理的IC，对其他硬件进行控制。例如，处理器101是CPU、DSP或者GPU。

IC是Integrated Circuit(集成电路)的简称。

CPU是Central Processing Unit(中央处理单元)的简称。

DSP是Digital Signal Processor(数字信号处理器)的简称。

GPU是Graphics Processing Unit(图形处理单元)的简称。

存储器102是易失性或非易失性的存储装置。存储器102也称为主存储装置或主存储器。例如，存储器102是RAM。存储于存储器102的数据根据需要而保存在辅助存储装置103中。

RAM是Random Access Memory(随机存取存储器)的简称。

辅助存储装置103是非易失性的存储装置。例如，辅助存储装置103是ROM、HDD或闪存。存储于辅助存储装置103的数据根据需要而被加载到存储器102中。

ROM是Read Only Memory(只读存储器)的简称。

HDD是Hard Disk Drive(硬盘驱动器)的简称。

通信装置104是接收器和发射器。例如，通信装置104是通信芯片或者NIC。

NIC是Network Interface Card(网络接口卡)的简称。

输入输出接口105是与输入装置及输出装置连接的端口。例如，输入输出接口105是USB端子，输入装置是键盘和鼠标，输出装置是显示器。

USB是Universal Serial Bus(通用串行总线)的简称。

匿名加工评价装置100具备数据受理部110、方法评价部120、基准评价部130以及结果输出部140这样的要素。这样要素由软件实现。

在辅助存储装置103中，存储有用于使计算机作为数据受理部110、方法评价部120、基准评价部130以及结果输出部140发挥功能的匿名加工评价程序。匿名加工评价程序被加载到存储器102中，由处理器101执行。

在辅助存储装置103中还存储有OS。OS的至少一部分被加载到存储器102中，由处理器101执行。

处理器101一边执行OS一边执行匿名加工评价程序。

OS是Operating System(操作系统)的简称。

匿名加工评价程序的输入输出数据被存储于存储器102、辅助存储装置103、处理器101内的寄存器或者处理器101内的高速缓冲存储器等存储装置。存储装置也称为存储部。

匿名加工评价装置100也可以具备代替处理器101的多个处理器。多个处理器分担处理器101的功能。

匿名加工评价程序能够以计算机可读取的方式记录(存储)于光盘或闪存等非易失性的记录介质。

＊＊＊动作的说明＊＊＊

匿名加工评价系统100S的动作的步骤相当于匿名加工评价方法。此外，匿名加工评价装置100的动作的步骤相当于基于匿名加工评价程序的处理的步骤。

基于图2对匿名加工评价方法进行说明。

在步骤S110中，数据受理部110受理个人信息数据、匿名加工后数据以及方法确定数据。

然后，数据受理部110将受理到的各数据存储于辅助存储装置103。

个人信息数据是表示个人信息的数据。个人信息数据的格式和个人信息数据的数据形式没有制约。

个人信息包含确定个人的1个以上的属性。例如，个人信息包含姓名或年龄等属性。

图3示出个人信息数据191。个人信息数据191是个人信息数据的一例。

个人信息数据191示出4个个人信息。各个人信息包含姓名和年龄。

例如，第1个个人信息包含“铃木太郎”这样的姓名和“30岁”这样的年龄。

接着，对匿名加工后数据进行说明。

匿名加工后数据是表示匿名加工后的个人信息的数据。匿名加工后数据的格式和匿名加工后数据的数据形式没有制约。

匿名加工是用于个人信息的匿名化的加工。

图4示出匿名加工后数据192。匿名加工后数据192是匿名加工后数据的一例。

匿名加工后数据192示出匿名加工后的4个个人信息。各个人信息包含姓名和年龄。

例如，第1个个人信息包含“＊”这样的姓名和“30岁”这样的年龄。即，个人信息中的姓名通过改写为“＊”而被删除。

接着，对方法确定数据进行说明。

方法确定数据是用于确定针对个人信息的匿名加工规则的数据。具体的方法确定数据是匿名加工方法数据。

匿名加工方法数据示出匿名加工规则。匿名加工方法数据的格式和匿名加工方法数据的数据形式没有制约。

匿名加工规则是用于通过特定的匿名加工方式而将个人信息匿名化的规则。

例如，匿名加工规则由匿名加工方式、匿名加工方式的对象属性、以及匿名加工方式的参数定义。匿名加工方式的对象属性是成为通过匿名加工方式进行加工的对象的属性。

匿名加工方式是用于匿名化的加工的方式。

例如，匿名加工方式是删除、顶端编码(top coding)或者微聚集(microaggregation)等。

图5示出匿名加工方法数据193。匿名加工方法数据193是匿名加工方法数据的一例。

匿名加工方法数据193示出2个匿名加工规则。各匿名加工规则由对象属性、匿名加工方式以及参数定义。

第1个匿名加工规则为“对象属性＝“姓名”，匿名加工方式＝“删除”，参数＝“＊””，规定“通过利用“＊”的改写而删除姓名”这样的匿名加工。

第2个匿名加工规则为“对象属性＝“年龄”，匿名加工方式＝“顶端编码”，参数＝“70””，规定“将70岁设为上限而对年龄进行顶端编码”这样的匿名加工。

返回图2，对步骤S120进行说明。

在步骤S120中，方法评价部120基于个人信息数据和匿名加工后数据进行方法评价。

在方法评价中，方法评价部120判定是否应用根据方法确定数据确定的匿名加工规则而进行了从个人信息向匿名加工后的个人信息的转换。

具体的方法确定数据是匿名加工方法数据。即，方法评价部120针对匿名加工方法数据所示的匿名加工规则进行方法评价。

基于图6对方法评价(S120)的步骤进行说明。

在步骤S121中，方法评价部120将个人信息数据和匿名加工后数据读入到存储器102。

在步骤S122中，方法评价部120判定在匿名加工方法数据中是否存在未选择的匿名加工规则(未选择的匿名加工规则)。

在存在未选择的匿名加工规则的情况下，处理进入步骤S123。

在不存在未选择的匿名加工规则的情况下，处理结束。

在步骤S123中，方法评价部120从匿名加工方法数据中选择1个未选择的匿名加工规则，将选择出的匿名加工规则读入到存储器102。

具体而言，方法评价部120从匿名加工方法数据中将第i个匿名加工规则选择为第i个。“i”为1以上的整数。

例如，方法评价部120从匿名加工方法数据193(参照图5)中将第1个匿名加工规则“对象属性＝“姓名”，匿名加工方式＝“删除”，参数＝“＊””选择为第1个。此外，方法评价部120从匿名加工方法数据193中将第2个匿名加工规则“对象属性＝“年龄”，匿名加工方式＝“顶端编码”，参数＝“70””选择为第2个。

将在步骤S123中被选择为第i个的匿名加工规则称为匿名加工规则(i)。

在步骤S124中，方法评价部120判定在个人信息数据与匿名加工后数据之间是否应用了匿名加工规则(i)。

例如，方法评价部120按照匿名加工规则(i)对个人信息数据进行加工。然后，方法评价部120对加工后的个人信息数据中的对象属性与匿名加工后数据中的对象属性进行比较。在加工后的个人信息数据中的对象属性与匿名加工后数据中的对象属性一致的情况下，被应用了匿名加工规则(i)。

匿名加工方法数据193(参照图5)中的第1个匿名加工规则为“对象属性＝“姓名”，匿名加工方式＝“删除”，参数＝“＊””。在对个人信息数据191(参照图3)应用了匿名加工方法数据193中的第1个匿名加工规则的情况下，加工后的个人信息数据191中的各姓名为“＊”。另一方面，匿名加工后数据192(参照图4)中的各姓名为“＊”。即，加工后的个人信息数据191中的对象属性(姓名)与匿名加工后数据192中的对象属性(姓名)一致。因此，在个人信息数据191与匿名加工后数据192之间应用了匿名加工方法数据193中的第1个匿名加工规则。

匿名加工方法数据193(参照图5)中的第2个匿名加工规则为“对象属性＝“年龄”，匿名加工方式＝“顶端编码”，参数＝“70””。在对个人信息数据191(参照图3)应用了匿名加工方法数据193中的第2个匿名加工规则的情况下，加工后的个人信息数据191中的年龄为“30，40，70，70”。另一方面，匿名加工后数据192中的年龄为“30，40，70，70”。即，加工后的个人信息数据191中的对象属性(年龄)与匿名加工后数据192(参照图4)中的对象属性(年龄)一致。因此，在个人信息数据191与匿名加工后数据192之间应用了匿名加工方法数据193中的第2个匿名加工规则。

在步骤S125中，方法评价部120记录判定结果(i)。

判定结果(i)示出在个人信息数据与匿名加工后数据之间是否应用了匿名加工规则(i)。

例如，方法评价部120在方法评价(S120)的开始时将空的方法评价数据存储于辅助存储装置103。然后，方法评价部120将判定结果(i)登记于方法评价数据。

在步骤S125之后，处理进入步骤S122。

返回图2，对步骤S130进行说明。

在步骤S130中，基准评价部130基于基准判定数据，进行基准评价。

基准判定数据是示出针对1个以上的匿名加工基准的1个以上的基准判定规则的数据。基准判定数据的格式和基准判定数据的数据形式没有制约。基准判定数据被预先存储在辅助存储装置103中。

匿名加工基准是根据针对匿名加工的规则而决定的基准。

具体而言，匿名加工基准是根据针对匿名加工的法律制度而决定的基准。法律制度的具体例是与日本的个人信息的保护相关的法律(根据平成15年法律第57号、平成27年法律第65号以及平成28年法律第51号修改)以及与个人信息的保护相关的法律施行规则(平成28年个人信息保护委员会规则第3号)。

基准判定规则是用于判定匿名加工基准的规则。

例如，基准判定规则由对象属性、匿名加工方式以及相应基准定义。相应基准是通过对象属性与匿名加工方式的组而确定的匿名加工规则所相应的匿名加工基准。

在基准评价中，基准评价部130判定针对如下基准判定规则的匿名加工基准，该基准判定规则与通过方法确定数据确定的匿名加工规则一致。

具体的方法确定数据是匿名加工方法数据。即，基准评价部130针对匿名加工方法数据所示的匿名加工规则进行基准评价。

图7示出基准判定数据194。基准判定数据194是基准判定数据的一例。

基准判定数据194示出多个基准判定规则。各基准判定规则由对象属性、匿名加工方式以及相应基准定义。

例如，第1个基准判定规则为“对象属性＝“姓名”，匿名加工方式＝“删除”，相应基准＝“基准(1)””，规定“删除姓名”这样的匿名加工与基准(1)相应。

基于图8和图9，对基准评价(S130)的步骤进行说明。

在步骤S131中，基准评价部130判定在匿名加工方法数据中是否存在未选择的匿名加工规则(未选择的匿名加工规则)。

在存在未选择的匿名加工规则的情况下，处理进入步骤S132。

在不存在未选择的匿名加工规则的情况下，处理结束。

在步骤S132中，基准评价部130从匿名加工方法数据中选择1个未选择的匿名加工规则，将选择出的匿名加工规则读入到存储器102。

具体而言，基准评价部130从匿名加工方法数据中将第i个匿名加工规则选择为第i个。“i”是1以上的整数。

将在步骤S132中选择为第i个的匿名加工规则称为匿名加工规则(i)。

在步骤S133中，基准评价部130判定在基准判定数据中是否存在针对匿名加工规则(i)未选择的基准判定规则(未选择的基准判定规则)。

在存在未选择的基准判定规则的情况下，处理进入步骤S134。

在不存在未选择的基准判定规则的情况下，处理进入步骤S137。

在步骤S134中，基准评价部130从基准判定数据中选择1个针对匿名加工规则(i)的未选择的基准判定规则，将选择出的基准判定规则读入到存储器102。

具体而言，基准评价部130从基准判定数据中将第j个基准判定规则选择为第j个。“j”是1以上的整数。

将在步骤S134中被选择为第j个的基准判定规则称为基准判定规则(j)。

在步骤S135中，基准评价部130对匿名加工规则(i)与基准判定规则(j)所示的匿名加工规则进行比较。

然后，基准评价部130基于比较结果，判定匿名加工规则(i)与基准判定规则(j)所示的匿名加工规则是否一致。

具体而言，基准评价部130判定匿名加工规则(i)中的对象属性与匿名加工方式的组是否跟基准判定规则(i)中的对象属性与匿名加工方式的组一致。

例如，在匿名加工方法数据193(参照图5)中的第1个匿名加工规则中，对象属性与匿名加工方式的组是(姓名，删除)。此外，在基准判定数据194(参照图7)中的第1个基准判定规则中，对象属性与匿名加工方式的组是(姓名，删除)。即，第1个匿名加工规则中的组与第1个基准判定规则中的组一致。因此，匿名加工方法数据193中的第1个匿名加工规则与第1个基准判定规则所示的匿名加工规则一致。

在匿名加工规则(i)与基准判定规则(j)所示的匿名加工规则一致的情况下，处理进入步骤S136。

在匿名加工规则(i)与基准判定规则(j)所示的匿名加工规则不一致的情况下，处理进入步骤S133。

在步骤S136中，基准评价部130记录判定结果(i，j)。

判定结果(i，j)表示匿名加工规则(i)适合于基准(j)。

基准(j)是基准判定规则(j)所示的相应基准。

例如，基准评价部130在基准评价(S130)的开始时将空的基准评价数据存储于辅助存储装置103。然后，基准评价部130将判定结果(i，j)登记于基准评价数据。

在步骤S137中，基准评价部130基于步骤S135的判定结果，判定匿名加工规则(i)是否与至少任意一个基准判定规则(j)所示的匿名加工规则一致。

例如，基准评价部130判定判定结果(i，j)是否登记在基准评价数据中。在至少1个判定结果(i，j)登记在基准评价数据中的情况下，匿名加工规则(i)与至少任意一个基准判定规则(j)所示的匿名加工规则一致。

在匿名加工规则(i)与哪一个基准判定规则(j)都不一致的情况下，处理进入步骤S138。

在匿名加工规则(i)与至少任意一个基准判定规则(j)一致的情况下，处理进入步骤S131。

在步骤S138中，基准评价部130记录判定结果(i)。

判定结果(i)表示匿名加工规则(i)不适合于任何一个基准(j)。

例如，基准评价部130将判定结果(i)登记于基准评价数据。

在步骤S138之后，处理进入步骤S131。

返回图2，对步骤S140进行说明。

在步骤S140中，结果输出部140对方法评价(S120)的结果与基准评价(S130)的结果进行综合。将通过综合得到的数据称为“综合评价数据”。

然后，结果输出部140输出综合评价数据。具体而言，结果输出部140将综合评价数据显示于显示器。

基于图10，对结果输出(S140)的步骤进行说明。

在步骤S141中，结果输出部140将个人信息数据、匿名加工后数据、匿名加工方法数据、方法评价数据以及基准评价数据读入到存储器102。

在步骤S142中，结果输出部140使用读入的数据，生成评价画面数据。

评价画面数据是与综合评价数据相当的数据，表示评价画面。

评价画面是表示所读入的数据内容的画面。

在步骤S143中，结果输出部140使用评价画面数据，将评价画面显示于显示器。

具体而言，结果输出部140通过向显示器输入评价画面数据，使显示器显示评价画面。

图11示出评价画面195。评价画面195是评价画面的一例。

评价画面195示出个人信息所包含的属性(姓名，年龄)。

评价画面195示出适合于基准(1)的匿名加工规则。此外，评价画面195示出针对个人信息应用了适合于基准(1)的匿名加工规则。

评价画面195示出适合于基准(4)的匿名加工规则。此外，评价画面195示出针对个人信息应用了适合于基准(4)的匿名加工规则。

＊＊＊实施例的说明＊＊＊

各数据也可以在数据受理部110、方法评价部120、基准评价部130以及结果输出部140这样的要素之间不经由辅助存储装置103进行输入输出。例如，可以通过存储器102共享各数据，也可以在要素之间收发各数据。

结果输出部140也可以将方法评价(S120)的结果和基准评价(S130)的结果设为输入来执行评价函数，将评价值包含在综合评价数据中。评价函数被预先准备。

＊＊＊实施方式1的效果＊＊＊

通过实施方式1，针对法律制度基准的评价结果与表示确实按照匿名加工规则生成了匿名加工后数据的评价结果一起显示在画面上。因此，进行匿名加工方法的评价的人通过阅览画面，能够容易地判定所输入的匿名加工方法是否满足法律制度基准。

实施方式2.

基于图12至图17，针对通过分析匿名加工用的程序来确定匿名加工规则的方式，主要说明与实施方式1的不同点。

＊＊＊结构的说明＊＊＊

基于图12，对匿名加工评价装置100的结构进行说明。

匿名加工评价装置100还具备程序分析部150。

匿名加工评价程序还使计算机作为程序分析部150发挥功能。

＊＊＊动作的说明＊＊＊

基于图13，对匿名加工评价方法进行说明。

在步骤S210中，数据受理部110受理个人信息数据、匿名加工后数据以及方法确定数据，将受理到的各数据存储于辅助存储装置103。但是，方法确定数据是匿名加工程序。

匿名加工程序是用于按照确定的匿名加工规则进行匿名加工的程序。

即，在匿名加工程序中，记述有用于按照确定的匿名加工规则进行匿名加工的处理的步骤。

匿名加工程序的格式和匿名加工程序的形式没有制约。

图14示出匿名加工程序196。匿名加工程序196是匿名加工程序的一例。

匿名加工程序196是以编程语言C++记述的源程序。

函数read()是用于将存储于辅助存储装置103的个人信息数据读出到存储器102的函数。

函数write()是用于将存储于存储器102的匿名加工后数据写入到辅助存储装置103的函数。

函数read()和函数write与匿名加工程序196分开安装。

数组data是个人信息用的数组，数组data的各要素具有姓名用的成员name和年龄用的成员age。

首先，在第1行，通过read()从辅助存储装置103向存储器102读出个人信息数据。然后，将各个人信息的姓名存储于数组data的各要素的成员name，将各个人信息的年龄存储于数组data的各要素的成员age。

接着，在第3行至第8行，针对存储于数组data的各个人信息进行匿名加工。由此，在数组data中存储匿名加工后数据。

最后在第10行，通过write(data)从存储器102向辅助存储装置103写入匿名加工后数据。

返回图13，对步骤S220进行说明。

在步骤S220中，程序分析部150通过对匿名加工程序进行分析，来确定由匿名加工程序实现的匿名加工规则。

具体而言，程序分析部150使用匿名加工代码数据，进行匿名加工规则的确定。

匿名加工代码数据是表示与1个以上的抽象化规则对应的1个以上的抽象化代码的数据。匿名加工代码数据预先存储在辅助存储装置103中。

抽象化规则是抽象化的匿名加工规则，包含抽象化的1个以上的要素(抽象化要素)。

抽象化代码是抽象化的程序代码，包含抽象化的1个以上的要素(抽象化要素)。

程序代码是程序中的1个以上的命令。

图15示出匿名加工代码数据197。匿名加工代码数据197是匿名加工代码数据的一例。

匿名加工代码数据197示出与2个抽象化规则对应的2个抽象化代码。抽象化规则由匿名加工方式与参数的组表示。

第1个抽象化代码是“{属性}＝{常数}”。{属性}和{常数}分别是抽象化要素。

第1个抽象化规则是“匿名加工方式＝删除，参数＝{常数}”。{常数}是抽象化要素。

第2个抽象化代码是“{数值}＞＝{属性}，{属性}＝{数值}”。{数值}和{属性}分别是抽象化要素。

第2个抽象化规则是“匿名加工方式＝顶端编码，参数＝{数值}”。{数值}是抽象化要素。

将存储个人信息的属性的变量称为“属性变量”。

第1个抽象化代码表示向属性变量代入常数。第1个抽象化规则表示利用用常数进行改写而删除个人信息的属性。

第2个抽象化代码表示在对属性变量与特定的数值进行比较之后向属性变量代入特定的数值。第2个抽象化规则表示将特定的数值设为上限的顶端编码。

基于图16对程序分析(S220)的步骤进行说明。

在步骤S221中，程序分析部150从辅助存储装置103向存储器102读入匿名加工程序。

在步骤S222中，程序分析部150通过对匿名加工程序进行分析，来确定存储个人信息的各属性的变量(属性变量)。

在匿名加工程序196(参照图14)中，“name”是存储姓名的属性变量，“age”是存储年龄的属性变量。

例如，属性变量如以下那样被确定。

在个人信息数据中对各属性附加标签。各标签识别属性。例如“姓名：铃木一郎，年龄：30岁”那样对各属性附加属性名。程序分析部150一边执行匿名加工程序，一边记录存储于各变量的值。然后，程序分析部150基于存储于各变量的值来确定属性变量。例如，在“name”这样的变量中存储“铃木一郎”、“佐藤二郎”、“田中花子”这样的值。在个人信息数据中，对“铃木一郎”、“佐藤二郎”、“田中花子”这样的值附加“姓名”这样的标签。因此，程序分析部150确定“name”这样的变量是姓名用的属性变量。

在步骤S223中，程序分析部150判定在所确定的1个以上的属性变量中是否存在未选择的属性变量(未选择的属性变量)。

在存在未选择的属性变量的情况下，处理进入步骤S224。

在不存在未选择的属性变量的情况下，处理结束。

在步骤S224中，程序分析部150选择1个未选择的属性变量。

在步骤S225中，程序分析部150从匿名加工程序中提取包含所选择的属性变量的程序代码。

例如，在所选择的属性变量为“age”的情况下，从匿名加工程序196(参照图14)中提取“age＞＝70，age＝70”。

在步骤S226中，程序分析部150确定与提取出的程序代码对应的匿名加工规则。

匿名加工规则如以下那样被确定。

首先，程序分析部150使用匿名加工代码数据，对适合于提取出的程序代码的抽象化代码进行检索。将适合于提取出的程序代码的抽象化代码称为“相应抽象化代码”。

接着，程序分析部150从匿名加工代码数据中取得针对相应抽象化代码的抽象化规则。将针对相应抽象化代码的抽象化规则称为“相应抽象化规则”。

接着，程序分析部150针对相应抽象化代码和相应抽象化规则各自的抽象化要素，从提取出的程序中提取与抽象化要素相应的要素。

然后，程序分析部150使用与各抽象化要素相应的要素，生成匿名加工规则。

例如，提取出的程序代码是“age＞＝70，age＝70”。“age＞＝70，age＝70”适合于匿名加工代码数据197(参照图15)的第1个抽象化代码“{数值}＞＝{属性}，{属性}＝{数值}”。与该抽象化代码对应的抽象化规则是“匿名加工方式＝顶端编码，参数＝{数值}”。提取出的程序代码中的{属性}是“age”。“age”是年龄用的属性变量。提取出的程序代码中的{数值}是“70”。因此，程序分析部150生成“对象属性＝年龄，匿名加工方式＝顶端编码，参数＝70”这样的匿名加工规则。

在步骤S227中，程序分析部150记录所确定出的匿名加工规则。

具体而言，程序分析部150在程序分析(S220)的开始时将空的匿名加工方法数据存储于辅助存储装置103。然后，程序分析部150将对象属性、匿名加工方式以及参数的组登记于匿名加工方法数据。

在步骤S227之后，处理进入步骤S223。

图17示出匿名加工方法数据198。匿名加工方法数据198是匿名加工方法数据的一例。

匿名加工方法数据198使用匿名加工程序196(参照图14)和匿名加工代码数据197(参照图15)而被生成。

匿名加工方法数据198的内容与实施方式1中的匿名加工方法数据193(参照图5)相同。

返回图13，对步骤S230以后的处理进行说明。

步骤S230至步骤S250与实施方式1(参照图2)的步骤S120至步骤S140相同。

但是，代替在步骤S110中受理的匿名加工方法数据而使用在步骤S220中生成的匿名加工方法数据。

＊＊＊实施方式2的效果＊＊＊

根据实施方式2，通过对匿名加工程序进行分析来确定匿名加工规则。因此，利用者不准备匿名加工方法数据就能够得到评价结果。

＊＊＊实施方式的补充＊＊＊

基于图18，对匿名加工评价装置100的硬件结构进行说明。

匿名加工评价装置100具备处理电路109。

处理电路109是实现数据受理部110、方法评价部120、基准评价部130、结果输出部140以及程序分析部150的硬件。

处理电路109可以是专用的硬件，也可以是执行存储于存储器102的程序的处理器101。

在处理电路109是专用的硬件的情况下，处理电路109例如是单一电路、复合电路、程序化的处理器、并行程序化的处理器、ASIC、FPGA或者它们的组合。

ASIC是Application Specific Integrated Circuit(专用集成电路)的简称。

FPGA是Field Programmable Gate Array(现场可编程门阵列)的简称。

匿名加工评价装置100也可以具备代替处理电路109的多个处理电路。多个处理电路分担处理电路109的功能。

在处理电路109中，也可以是由专用的硬件实现一部分功能，由软件或固件实现剩余功能。

这样，匿名加工评价装置100的功能通过硬件、软件、固件或者它们的组合来实现。

各实施方式是优选方式的例示，并非意在限制本公开的技术范围。各实施方式可以部分地实施，也可以与其他方式组合地实施。使用流程图等说明的步骤也可以适当变更。

作为匿名加工评价装置100的要素的“部”也可以替换为“处理”或“工序”。

附图标记说明

100匿名加工评价装置，100S匿名加工评价系统，101处理器，102存储器，103辅助存储装置，104通信装置，105输入输出接口，109处理电路，110数据受理部，120方法评价部，130基准评价部，140结果输出部，150程序分析部，191个人信息数据，192匿名加工后数据，193匿名加工方法数据，194基准判定数据，195评价画面，196匿名加工程序，197匿名加工代码数据，198匿名加工方法数据。

Claims (5)

1.一种匿名加工评价系统，所述匿名加工评价系统具备：

数据受理部，其受理表示个人信息的个人信息数据、表示匿名加工后的个人信息的匿名加工后数据、以及用于确定针对所述个人信息的匿名加工规则的方法确定数据；

方法评价部，其基于所述个人信息数据和所述匿名加工后数据进行方法评价，在该方法评价中，判定是否应用通过所述方法确定数据确定的匿名加工规则而进行了从所述个人信息向所述匿名加工后的个人信息的转换；

基准评价部，其基于基准判定数据进行基准评价，该基准判定数据表示针对1个以上的匿名加工基准的1个以上的基准判定规则，在该基准评价中，判定针对与通过所述方法确定数据确定的匿名加工规则一致的基准判定规则的匿名加工基准；以及

结果输出部，其对所述方法评价的结果和所述基准评价的结果进行综合并输出。

2.根据权利要求1所述的匿名加工评价系统，其中，

所述方法确定数据是表示所述匿名加工规则的匿名加工方法数据，

所述方法评价部针对所述匿名加工方法数据所示的所述匿名加工规则进行所述方法评价，

所述基准评价部针对所述匿名加工方法数据所示的所述匿名加工规则进行所述基准评价。

3.根据权利要求1所述的匿名加工评价系统，其中，

所述匿名加工评价系统具备程序分析部，

所述方法确定数据是用于按照所述匿名加工规则进行匿名加工的匿名加工程序，

所述程序分析部通过对所述匿名加工程序进行分析来确定所述匿名加工规则，

所述方法评价部针对所确定出的所述匿名加工规则进行所述方法评价，

所述基准评价部针对所确定出的所述匿名加工规则进行所述基准评价。

4.一种匿名加工评价方法，其中，

数据受理部受理表示个人信息的个人信息数据、表示匿名加工后的个人信息的匿名加工后数据、以及用于确定针对所述个人信息的匿名加工规则的方法确定数据，

方法评价部基于所述个人信息数据和所述匿名加工后数据进行方法评价，在该方法评价中，判定是否应用通过所述方法确定数据确定的匿名加工规则而进行了从所述个人信息向所述匿名加工后的个人信息的转换，

基准评价部基于基准判定数据进行基准评价，该基准判定数据表示针对1个以上的匿名加工基准的1个以上的基准判定规则，在该基准评价中，判定针对基准判定规则的匿名加工基准，该基准判定规则与通过所述方法确定数据确定的匿名加工规则一致，

结果输出部对所述方法评价的结果和所述基准评价的结果进行综合并输出。

5.一种匿名加工评价程序，所述匿名加工评价程序用于使计算机执行以下处理：

数据受理处理，受理表示个人信息的个人信息数据、表示匿名加工后的个人信息的匿名加工后数据、以及用于确定针对所述个人信息的匿名加工规则的方法确定数据；

方法评价处理，基于所述个人信息数据和所述匿名加工后数据进行方法评价，在该方法评价中，判定是否应用通过所述方法确定数据确定的匿名加工规则而进行了从所述个人信息向所述匿名加工后的个人信息的转换；

基准评价处理，基于基准判定数据进行基准评价，该基准判定数据表示针对1个以上的匿名加工基准的1个以上的基准判定规则，在该基准评价中，判定针对与通过所述方法确定数据确定的匿名加工规则一致的基准判定规则的匿名加工基准；以及

结果输出处理，对所述方法评价的结果和所述基准评价的结果进行综合并输出。

Images