JP2010182053A - 秘匿集計システム - Google Patents

Abstract

【課題】 利用者の希望順位に従い、秘匿処理の漏れをなくすことができる秘匿集計システムを提供する。
【解決手段】 優先順位決定手段１１１が、優先順位テーブル１３１を参照し、優先順位が低い要素を判別し、許容範囲決定手段１１２が、当該要素について許容範囲テーブル１３２を参照し、秘匿レベルを最低にして、処理対象の要素が許容範囲内か否かを判定し、しきい値判定手段１１３が、許容範囲内であれば、しきい値テーブル１３３を参照し、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、管理手段１１７が、全ての集計項目でしきい値を越えた場合に、秘匿処理を終了させ、許容範囲決定手段１１２が、全ての集計項目のいずれかでしきい値を越えていない場合に、要素の秘匿レベルを１レベル広義にして許容範囲内であれば、しきい値判定手段１１３が上記判定処理を行う。
【選択図】 図６

Description

本発明は、地図情報上で集計・分析を行う場合に個人情報を保護する観点から秘匿処理を行う秘匿集計システムに係り、特に、個人の位置情報を年齢やカテゴリーなどの属性を保持した状態で集計して分析する場合に、個人が特定できないよう有効に秘匿できる秘匿集計システムに関する。

［従来の技術］
従来、地図情報上において個人の位置情報を年齢やカテゴリーなどの属性を保持した状態のままで、行政界やメッシュ単位に集計し、分析を行う場合、個人情報保護の観点から個人が特定できないよう何らかの秘匿処理を施す必要がある。

例えば、特定できる個人の位置情報を当該行政界又はメッシュ内から削除する方法、また、特定される個人の位置情報を他の行政界又はメッシュに移動させてしまう等の手法が考えられる。

［関連技術］
尚、関連する技術としては、特開２００７−２１９６３５「情報秘匿方法および個人情報管理運用装置」（出願人：日本電信電話株式会社）がある（特許文献１）。
この特許文献１は、個人情報保護運用装置がプロバイダから属性開示要求を受けると、ユーザＩＤに対してどの程度秘匿性が失われるか秘匿計算し、秘匿性を確保できる属性の情報のみをプロバイダに開示するものである。

また、関連する技術としては、特開２００３−３２２５３１「ナビゲーション装置」（出願人：アルパイン株式会社）がある（特許文献２）。
この特許文献２は、携帯電話のメモリに登録されている個人情報を読み込み、個人情報に含まれる電話番号に基づいて表示位置を特定し、個人情報に含まれるテキスト画像、登録画像から成る特定画像を車両位置周辺の地図画像上に重ねて表示するものである。

特開２００７−２１９６３５号公報 特開２００３−３２２５３１号公報

しかしながら、上記従来の秘匿処理では、個人の位置情報を単純に削除してしまうと、統計の数値が合わなくなったり、個人の位置情報を他の行政界等に移動した場合には、正確な集計データが得られないといった問題点があった。
また、これら秘匿処理を手動で行っていては、効率的ではないし、秘匿処理漏れが発生し、個人情報の保護を十分に行うことができないという問題点があった。

［発明の目的］
本発明は上記実状に鑑みて為されたもので、地図情報上での個人の位置情報を、属性情報を保持したまま比較的に正確に集計・分析でき、更に秘匿処理の漏れをなくすことができる秘匿集計システムを提供することを目的とする。

上記従来例の問題点を解決するための本発明は、制御部と、記憶部とを有し、集計処理を行う際に集計データの秘匿処理を実行する秘匿集計システムであって、記憶部が、集計対象の複数の要素について優先順位を設定する優先順位テーブルと、各要素について許容範囲を秘匿レベルで設定する許容範囲テーブルと、要素毎に集計の最小単位毎に、更に上位の集計単位毎に集計データの秘匿処理を行うか否かを決定するしきい値を設定するしきい値テーブルと有し、制御部が、プログラムの動作によって実現する手段として、優先順位テーブルを参照し、優先順位が低い要素を判別する優先順位決定手段と、当該要素について許容範囲テーブルを参照し、秘匿レベルを最低にして、処理対象の要素が許容範囲内か否かを判定にする許容範囲決定手段と、許容範囲内であれば、しきい値テーブルを参照し、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定するしきい値判定手段と、全ての集計項目でしきい値を越えた場合に、秘匿処理を終了させる管理手段とを有し、許容範囲決定手段が、全ての集計項目のいずれかでしきい値を越えていない場合に、許容範囲テーブルを参照して、要素の秘匿レベルを１レベル広義にし、広義にした秘匿レベルが当該要素について許容範囲内であるか否かを判定し、許容範囲内であれば、しきい値判定手段で秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、全ての集計項目でしきい値を越えた場合に、管理手段で秘匿処理を終了させることを特徴とする。

本発明は、上記秘匿集計システムにおいて、許容範囲決定手段が、許容範囲テーブルを参照し、秘匿レベルが要素について許容範囲内であるか判定し、許容範囲内でない場合に、優先順位決定手段が、優先順位テーブルを参照し、次の優先順位の要素について設定されている優先順位を越えているか否かを判定し、設定されている優先順位を越えていなければ、許容範囲決定手段が、要素について許容範囲テーブルを参照し、秘匿レベルを最低にして、処理対象の要素が許容範囲内か否かを判定し、次の優先順位の要素について設定されている優先順位を越えている場合には、管理手段が、秘匿処理が行われなかったとして処理を終了することを特徴とする。

本発明は、上記秘匿集計システムにおいて、しきい値判定手段が、しきい値テーブルを参照し、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、全ての集計項目のいずれかでしきい値を越えていない場合に、管理手段が、分散処理が設定されているか否かを判定し、設定されている場合に、制御部のプログラム動作によって実現される分散処理実行手段が、集計データについて分散処理を行い、更に、しきい値判定手段が、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを再度判定することを特徴とする。

本発明は、上記秘匿集計システムにおいて、しきい値判定手段が、しきい値テーブルを参照し、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、全ての集計項目のいずれかでしきい値を越えていない場合に、管理手段が、抹消処理が設定されているか否かを判定し、設定されている場合に、制御部のプログラム動作によって実現される抹消処理実行手段が、集計データについて抹消処理を行い、更に、しきい値判定手段が、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを再度判定することを特徴とする。

本発明は、上記秘匿集計システムにおいて、分散処理実行手段が、分散回数が予め設定された回数より多い場合に、分散処理を実行せず、許容範囲決定手段が、許容範囲テーブルを参照して、要素の秘匿レベルを１レベル広義にし、広義にした秘匿レベルが当該要素について許容範囲内であるか否かを判定することを特徴とする。

本発明は、上記秘匿集計システムにおいて、抹消処理実行手段が、抹消割合が予め設定された割合より高い場合に、抹消処理を実行せず、許容範囲決定手段が、許容範囲テーブルを参照して、要素の秘匿レベルを１レベル広義にし、広義にした秘匿レベルが当該要素について許容範囲内であるか否かを判定することを特徴とする。

本発明は、上記秘匿集計システムにおいて、表示装置を備え、記憶部には、地図データを記憶し、制御部のプログラム動作によって実現される地図情報表示手段が、地図データを表示装置に表示し、秘匿処理された集計データを重ねて表示することを特徴とする。

本発明は、上記秘匿集計システムにおいて、制御部が、プログラムの動作によって実現される手段として、秘匿処理が実行された場合に、秘匿処理が実行される順位について要素と秘匿レベルを処理順位テーブルとして生成する処理順位テーブル生成手段と、生成された処理順位テーブルの順位を変更する処理順位テーブル変更手段と、変更された処理順位テーブルの順位に従い、当該順位が示す要素と秘匿レベルについてしきい値テーブルを参照して、当該秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、全ての集計項目のいずれかでしきい値を越えていない場合には、処理順位テーブルの次に順位の要素と秘匿レベルについてしきい値テーブルを参照して、当該秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定する処理順位テーブル実行手段とを有し、管理手段が、全ての集計項目のいずれかでしきい値を越えている場合に、秘匿処理を終了させることを特徴とする。

本発明は、上記秘匿集計システムにおいて、処理順位テーブル生成手段が、処理順位テーブルにおいて、前回秘匿処理が為された要素と秘匿レベルに、秘匿処理が為されたことを示す識別情報を付与したことを特徴とする。

本発明によれば、優先順位決定手段が、優先順位テーブルを参照し、優先順位が低い要素を判別し、許容範囲決定手段が、当該要素について許容範囲テーブルを参照し、秘匿レベルを最低にして、処理対象の要素が許容範囲内か否かを判定し、しきい値判定手段が、許容範囲内であれば、しきい値テーブルを参照し、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、管理手段が、全ての集計項目でしきい値を越えた場合に、秘匿処理を終了させ、許容範囲決定手段が、全ての集計項目のいずれかでしきい値を越えていない場合に、許容範囲テーブルを参照して、要素の秘匿レベルを１レベル広義にし、広義にした秘匿レベルが当該要素について許容範囲内であるか否かを判定し、許容範囲内であれば、しきい値判定手段で秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、全ての集計項目でしきい値を越えた場合に、管理手段で秘匿処理を終了させる秘匿集計システムであり、利用者の希望順位に従い、秘匿処理を漏れなく行うことができる効果がある。

本発明によれば、処理順位テーブル生成手段が、秘匿処理が実行された場合に、秘匿処理が実行される順位について要素と秘匿レベルを処理順位テーブルとして生成し、処理順位テーブル変更手段が、生成された処理順位テーブルの順位を変更し、処理順位テーブル実行手段が、変更された処理順位テーブルの順位に従い、当該順位が示す要素と秘匿レベルについてしきい値テーブルを参照して、当該秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、全ての集計項目のいずれかでしきい値を越えていない場合には、処理順位テーブルの次に順位の要素と秘匿レベルについてしきい値テーブルを参照して、当該秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、管理手段が、全ての集計項目のいずれかでしきい値を越えている場合に、秘匿処理を終了させる上記秘匿集計システムとしているので、前回行った処理順位を容易に利用できる効果がある。

本発明の実施の形態に秘匿集計システムの概略構成図である。 優先順位テーブルを示す概略図である。 許容範囲テーブルを示す概略図である。 カテゴリーの場合のしきい値テーブルを示す概略図である。 本システムにおける実現手段の概要を示す図である。 秘匿集計ロジックの処理フローを示す図である。 地図上にメッシュを重ね合わせた表示例の図である。 図７に顧客情報をドットで表示した図である。 秘匿処理を行った後の表示例を示す図である。 処理順位テーブルを示す図である。

本発明の実施の形態について図面を参照しながら説明する。
［実施の形態の概要］
本発明の実施の形態に係る秘匿集計システムは、例えば、地域、年齢、カテゴリーグループの３要素に対して、優先順位、許容範囲、しきい値を設定し、優先順位の要素について許容範囲の秘匿レベルで全ての集計項目がしきい値を越えていれば秘匿処理を終了し、全ての集計項目のいずれかがしきい値を越えていなければ次の秘匿レベル若しくは次の優先順位の要素について上記同様の処理を行うようにしているので、利用者の希望順位に従って、特定の条件で秘匿処理を漏れなく実現できるものである。
尚、上記では、３要素について説明したが、本発明の実施の形態では、２要素以上であればよく、４要素であっても実現可能である。

また、本発明の実施の形態に係る秘匿集計システムは、前回行った秘匿処理の処理順位を処理順位テーブルに生成し、当該処理順位テーブルの順位を変更可能とし、変更された処理順位テーブルの内容に従って秘匿処理を実行可能とするものであり、前回行った処理順位を利用可能としたものである。

［本システムの構成：図１］
本発明の実施の形態に係る秘匿集計システム（本システム）について図１を参照しながら説明する。図１は、本発明の実施の形態に秘匿集計システムの概略構成図である。
本システムは、図１に示すように、処理装置１と、表示装置２と、入力装置３とから基本的に構成されている。

処理装置１は、制御部１１と、主メモリ１２と、記憶部１３と、インタフェース部１４とを備えている。
制御部１１は、記憶部１３に記憶された処理プログラムを読み込んで主メモリ１２にロードし、処理を実行可能とするものである。処理の内容については後述する。
主メモリ１２は、処理に必要なプログラム、データ等を一時的に記憶するワーキングメモリである。

記憶部１３は、処理プログラムを記憶すると共に、各種テーブル、地図情報（地図データ）を含むデータ等を記憶する。処理プログラムが主メモリ１２にロードされて実現される各種手段、また各種テーブル等については後述する。
インタフェース部１４は、表示装置２及び入力装置３に接続するためのインタフェースである。

［秘匿集計ロジックの概要］
次に、本システムにおける秘匿集計ロジックについて説明する。
まず、地域情報における秘匿集計ロジックは、「優先順位」、「許容範囲」、「しきい値」が定義されている。
「優先順位」は、地域、年齢、カテゴリー等のどの要素に重点を置いて分析を行うのかを指定するものである。秘匿レベルを狭義に保ちたい要素の優先順位を高く設定する。
「許容範囲」は、分析する上で、秘匿レベルの範囲を指定するものである。
「しきい値」は、秘匿を必要とする値の上限を設定するものである。対象がこの値以下であると秘匿対象にされる。
ここでは、３要素について説明するが、４要素以上であって理論的に可能である。

ここで、秘匿レベルについて説明しておく。
要素「地域」において、秘匿レベルは、「号」「街区」「町丁目」「大字」「市区町村」「都道府県」の順に狭義から広義に設定するものである。
また、要素「地域」において、上記のように行政区で分けるのではなく、「ｘ，ｙ（地点）」「５０ｍ Ｍｅｓｈ」「１００ｍ Ｍｅｓｈ」「５００ｍ Ｍｅｓｈ」「１ｋｍ Ｍｅｓｈ」「１０ｋｍ Ｍｅｓｈ」の順に狭義から広義に設定するようにしてもよい。

また、要素「年齢」では、例えば、「０〜５歳」「６〜１０歳」のように５歳単位を狭義とし、「０〜１０歳」「１１〜２０歳」のように１０歳単位、更に、「若年層」「高齢者層」のような分類へと広義になるよう設定する。

また、要素「カテゴリー」では、カテゴリー「Ａ１」「Ａ２」「Ａ３」「Ｂ１」「Ｂ２」「Ｃ１」「Ｃ２」「Ｃ３」…を狭義とし、「Ａ１」「Ａ２」「Ａ３」を含むカテゴリー「Ａ」、「Ｂ１」「Ｂ２」を含む「Ｂ」、「Ｃ１」「Ｃ２」「Ｃ３」を含む「Ｃ」、更に、「Ａ」を含む「グループ１」、「Ｂ」「Ｃ」を含む「グループ２」のように広義になるよう設定する。

更に、分散処理と抹消処理を選択的に設定できる。
［分散・抹消処理］
分散・抹消処理とは、実際の数値を忠実に集計するよりも、秘匿レベルを狭義に保つことを優先させたい場合に設定するものである。但し、秘匿レベルは狭義に保てるが、各要素の合計値等が合わなくなる可能性がある。

分散処理は、「分散率変更ロジック」や「最近隣加重内挿法」等を用いて、秘匿対象のデータを他の地域のブロックに分散させるものである。
抹消処理は、秘匿対象のデータを当該地域のブロック内で削除するものである。

分散率変更ロジックとは、秘匿が必要な地域と近い場所に分散率を考慮して分散させる場合に、可能な限り分散後に更に秘匿処理が発生しないように分散させるものである。
最近隣加重内挿法とは、周辺のデータを考慮した推計値に置き換えてしまう方法である。

［秘匿集計ロジックの内容］
そして、秘匿集計の処理ロジックは、まず、「優先順位」項目で優先順位の低い要素について「許容範囲」の秘匿レベルを参照し、当該秘匿レベルにおける集計項目が「しきい値」を超えているか否かを判断し、超えていれば秘匿処理は行わず、超えていなければ秘匿レベルを上げて当該秘匿レベルにおける集計項目が「しきい値」を超えているかを判断する。

「しきい値」を超えるようになれば秘匿処理を止め、次に「優先順位」の低い要素について同様の処理を行い、最後に「優先順位」の高い要素について同様の処理を行う。
更に、各要素について、分散処理又は抹消処理が個別に設定されているのであれば、設定されている要素について、分散処理、抹消処理を実行する。

［テーブル：図２〜４］
記憶部１３に記憶される各種テーブルについて図２〜図４を参照しながら説明する。図２は、優先順位テーブルを示す概略図であり、図３は、許容範囲テーブルを示す概略図であり、図４は、カテゴリーの場合のしきい値テーブルを示す概略図である。

［優先順位テーブル：図２］
優先順位テーブルは、図２に示すように、分析識別子（ＩＤ）毎に、地域、年齢、カテゴリーの３要素について分析ＩＤ（例えば、分析１、分析２・・）毎に、秘匿処理の優先順位を設定するものである。

［許容範囲テーブル：図３］
許容範囲テーブルは、図３に示すように、「地域」「年齢」「カテゴリー」の要素毎に低い秘匿レベルから（FROM）高い秘匿レベルまで（TO）が設定されている。
尚、許容範囲テーブルを分析ＩＤ毎に設定するようにしてもよい。

［しきい値テーブル：図４］
しきい値テーブルは、図４に示すように、「地域」「年齢」「カテゴリー」の要素毎に、集計項目の最小単位におけるしきい値、次の大きさの単位におけるしきい値、更に次の大きい集計項目の単位におけるしきい値が順に設定され、これらのしきい値を超えなければ秘匿処理を続行し、超えたならば秘匿処理を停止する。
尚、図４では、要素「カテゴリー」におけるしきい値テーブルを例示的に示している。

［分散処理テーブル］
分散処理テーブルは、要素毎に設けられ、分散処理を実行するか否かの情報が記憶されている。
［抹消処理テーブル］
抹消処理テーブルは、要素毎に設けられ、抹消処理を実行するか否かの情報が記憶されている。

［実現手段：図５］
本システムにおいて、記憶部１３に記憶された処理プログラムが主メモリ１２にロードされて実現される処理手段としては、図５に示すように、優先順位決定手段１１１と、許容範囲決定手段１１２と、しきい値判定手段１１３と、分散処理実行手段１１４と、抹消処理実行手段１１５と、地図情報表示手段１１６と、管理手段１１７とがある。図５は、本システムにおける実現手段の概要を示す図である。

尚、各手段の説明を分かり易くするために、各種テーブルにも符号を付すことにし、優先順位テーブル１３１、許容範囲テーブル１３２、しきい値テーブル１３３、分散処理テーブル１３４、抹消処理テーブル１３５とした。

［優先順位決定手段１１１］
優先順位決定手段１１１は、図２の優先順位テーブル１３１を参照して、優先順位を決定する。決定された優先順位は管理手段１１７に報告される。
［許容範囲決定手段１１２］
許容範囲決定手段１１２は、図３の許容範囲テーブル１３２を参照して、該当する要素における秘匿レベルを決定する。
［しきい値判定手段１１３］
しきい値判定手段１１３は、該当する要素について、図４のしきい値テーブル１３３を参照して、しきい値を取得し、集計項目が当該しきい値を超えているか否かを判定し、その結果を管理手段１１７に報告する。

［分散処理実行手段１１４］
分散処理実行手段１１４は、該当する要素について分散処理テーブル１３４を参照し、分散処理が設定されていれば、分散処理を実行する。
尚、分散処理テーブル１３４に、予め分散回数の上限値を設定しておき、当該上限値を超えた場合（上限値より分散回数が多くなった場合）には、分散処理実行手段１１４は、分散処理を行わないように制御してもよい。

［抹消処理実行手段１１５］
抹消処理実行手段１１５は、該当する要素について抹消処理テーブル１３５を参照し、抹消処理が設定されていれば、抹消処理を実行する。
尚、抹消処理テーブル１３５に、予め抹消割合の上限値を設定しておき、当該上限値を超えた場合（上限値より抹消割合が高くなった場合）には、抹消処理実行手段１１５は、抹消処理を行わないように制御してもよい。

［地図情報表示手段１１６］
地図情報表示手段１１６は、表示装置２に秘匿処理された集計データを地図の画像情報に重ねて表示する。
［管理手段１１７］
管理手段１１７は、各手段からの報告を受け、更に、各手段に対して次に処理を指示する。
具体的に、管理手段１１７は、各手段の連携を図るもので、分散処理又は抹消処理のオプションが存在するか否かを判定し、秘匿処理を正常に終了させ、秘匿処理が実行できなかった場合にも終了させる処理を行うものである。

［処理フロー：図６］
秘匿集計ロジックの処理フローについて図６を参照しながら説明する。図６は、秘匿集計ロジックの処理フローを示す図である。特に、図６においては、地域情報における秘匿集計ロジックの処理フローを示している。
秘匿集計ロジックは、図６に示すように、優先順位決定手段１１１が、３要素の優先順位を優先順位テーブル１３１から判断して、優先順位を高、中、低を判別し、優先順位の低から秘匿ロジック処理を開始する（Ｓ１）。

次に、現在の要素の秘匿レベルを最も狭義にする（Ｓ２）。この秘匿レベルを狭義にするとは、許容範囲決定手段１１２が、許容範囲テーブル１３２を参照し、優先順位テーブル１３１で指定された要素について秘匿レベルを最低にすることである。

次に、許容範囲決定手段１１２は、許容範囲テーブル１３２を参照して現在の要素は許容範囲か否かを判定する（Ｓ３）。許容範囲であれば（Ｙｅｓの場合）、しきい値判定手段１１３は、しきい値テーブル１３３を参照し、秘匿レベルにおける全ての項目がしきい値を超えていないか否かを判定する（Ｓ４）。

全ての項目がしきい値を超えている場合（Ｙｅｓの場合）、管理手段１１７は、秘匿ロジックを終了する（Ｓ５）。
また、判定処理Ｓ４で、全ての項目のいずれかがしきい値を超えていない場合（Ｎｏの場合）、管理手段１１７は、オプションとして分散処理、若しくは抹消処理が設定されているか否かを判定する（Ｓ６）。尚、オプション処理を省略してもよい。

判定処理Ｓ６で、分散処理若しくは抹消処理が設定されている場合（Ｙｅｓの場合）、分散処理実行手段１１４又は抹消処理実行手段１１５は、分散処理テーブル１３４又は抹消処理テーブル１３５を参照し、分散回数が予め設定した値より多い場合、若しくは抹消割合が予め設定した値より高い場合か否かを判定する（Ｓ７）。

そして、分散回数が予め設定した値より多いない場合、若しくは抹消割合が予め設定した値より高くない場合（Ｎｏの場合）、分散処理実行手段１１４又は抹消処理実行手段１１５は、集計データの分散処理若しくは抹消処理を実行し（Ｓ８）、処理Ｓ４に戻る。

判定処理Ｓ６で、分散処理若しくは抹消処理が設定されていない場合（Ｎｏの場合）、または、判定処理Ｓ７で、分散回数が予め設定した値より多い場合、若しくは抹消割合が予め設定した値より高い場合（Ｙｅｓの場合）は、許容範囲決定手段１１２が、許容範囲テーブル１３２における現在の要素の秘匿レベルを１レベル広義にして（Ｓ９）、処理Ｓ３に戻る。

また、判定処理Ｓ３で、現在の要素が許容範囲ではない場合（Ｎｏの場合）、優先順位決定手段１１１は、優先順位テーブル１３１を参照して、次の優先順位の要素に移る（Ｓ１０）。

次に、優先順位決定手段１１１は、優先順位テーブル１３１を参照して、現在の要素は優先順位（高）の設定を超えているか否かを判定し（Ｓ１１）、優先順位を超えていなければ（Ｎｏの場合）、処理Ｓ２に戻る。
尚、処理Ｓ２に戻ると、処理Ｓ１０で次の優先順位の要素に移っているので、その要素についての秘匿レベルを最も狭義にする処理が為されることになる。

判定処理Ｓ１１で、優先順位を超えている場合（Ｙｅｓの場合）、管理手段１１７は、秘匿処理が行えなかったとして秘匿ロジックの処理を終了する（Ｓ１２）。
このようにして、秘匿集計ロジックの処理が為される。

そして、地図情報表示手段が、記憶部１３に記憶された地図情報（地図データ）を表示装置２に表示すると共に、上記秘匿集計ロジックで秘匿処理が為された集計データを地図情報に重ねて表示するようになっている。
以下、具体的な表示例について説明する。

［表示画面１：図７］
次に、秘匿集計ロジックを用いて処理を行った場合について図７〜９を参照しながら説明する。図７は、地図上にメッシュを重ね合わせた表示例の図であり、図８は、図７に顧客情報をドットで表示した図であり、図９は、秘匿処理を行った後の表示例を示す図である。
図７には、地図上に２５０ｍメッシュを重ね合わせた表示画面を示している。

［表示画面２：図８］
図７の状態に、顧客情報をドットで表示したのが図８である。
ここで、図８を参照すると、２５０ｍメッシュ内に顧客が２人しかいない場合があり、個人が特定される可能性がある。
そこで、本実施の形態に係る秘匿集計ロジックにより、秘匿レベルを広義にして、５００ｍメッシュで集計を行うようにする。

［表示画面３：図９］
図８を５００ｍメッシュで表示した表示例が図９である。
図９のように、５００ｍメッシュで集計することにより、集計単位は粗くはなるが、個人を特定できなくすることができる。
このように、２５０ｍメッシュでの個人特定とはならない顧客人数を、例えば、４人としきい値設定しておき、２５０ｍメッシュ内にしきい値を下回るメッシュが存在する場合には、秘匿レベルを一段広義にして５００ｍメッシュでの集計を行い、表示するようになっている。

［追加技術：図１０］
次に、本実施の形態に係る秘匿処理を行った場合に、制御部１１が記憶部１３に記憶された処理プログラムを主メモリ１２に読み込んで実行可能とする処理手段として、処理順位テーブル生成手段と、処理順位テーブル変更手段と、処理順位テーブル実行手段とがある。

［処理順位テーブル生成手段］
処理順位テーブル生成手段は、秘匿処理が実際に為された順位を要素と秘匿レベルのテーブルで生成するものである。
［処理順位テーブル：図１０］
処理順位テール生成手段で生成される処理順位テーブルについて図１０を参照しながら説明する。図１０は、処理順位テーブルを示す図である。
図１０に示すように、処理順位テーブルは、上記秘匿処理により実行された要素と秘匿レベルの順位を記憶するもので、処理される順位と、要素と秘匿レベルと、更に当該要素の秘匿レベルで秘匿処理が為されたか否かを示す識別情報、例えば、実施マークが付与される。

図１０では、順位３の要素「年齢」、秘匿レベル「レベル（１）」までは、実施マークが付されているので、秘匿処理が為されたことになるが、順位４以降については、秘匿処理を行う予定はあったものの、しきい値を越えなかったため、秘匿処理が必要ではなくなり、秘匿処理が為されなかったものである。

［処理順位テーブル変更手段］
処理順位テーブル変更手段は、図１０に示した処理順位テーブルの順位を変更するものである。
順位変更は、順位の欄の数字を変更してソートを実行するか、テーブルの行を指定して移動させる手法で実現できる。
但し、しきい値についての変更は、しきい値テーブルで変更することになる。

［処理順位テーブル実行手段］
処理順位テーブル実行手段は、処理順位テーブルの変更を確定した後に、画面上の「実行処理」ボタンをクリック（選択）すると、変更された処理順位テーブルの内容に従って、秘匿処理を実行するようになっている。

具体的には、処理順位テーブル実行手段は、変更された処理順位テーブルの順位に従い、当該順位が示す要素と秘匿レベルについてしきい値テーブルを参照して、当該秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、全ての集計項目のいずれかでしきい値を越えていない場合には、処理順位テーブルの次に順位の要素と秘匿レベルについてしきい値テーブルを参照して、当該秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定する。

そして、管理手段が、全ての集計項目でしきい値を越えている場合に、秘匿処理を終了させるものである。
秘匿処理が実行されれば、新たな処理順位テーブルを生成することになる。

以上のように、処理順位テーブルを用いて、処理順位テーブル変更手段、処理順位テーブル実行手段を利用することにより、一度秘匿処理を行った諸条件を再度容易に利用可能となるものである。
また、処理順位テーブルに秘匿処理の実施の有無がマークで表示されるので、秘匿処理の実行過程を知ることができ、その実行過程を参考に、新たに処理順位を変更できるので、秘匿処理をより有用なものとすることができる。

［実施の形態の効果］
本システムによれば、地図情報上での個人の位置情報を、「年齢」「カテゴリー」等の要素と秘匿レベル、しきい値によって秘匿処理を実現しているので、属性情報を保持したまま比較的に正確に集計・分析でき、更に秘匿処理の漏れをなくすことができる効果がある。

また、本システムによれば、処理順位テーブルを用いることで、過去の秘匿処理内容を活用して、状況に応じた秘匿処理を実現できる効果がある。

本発明は、地図情報上での個人の位置情報を、属性情報を保持したまま比較的に正確に集計・分析でき、更に秘匿処理の漏れをなくすことができる秘匿集計システムに好適である。

１…処理装置、 ２…表示装置、 ３…入力装置、 １１…制御部、 １２…主メモリ、 １３…記憶部、 １４…インタフェース部、 １１１…優先順位決定手段、 １１２…許容範囲決定手段、 １１３…しきい値判定手段、 １１４…分散処理実行手段、 １１５…抹消処理実行手段、 １１６…地図情報表示手段、 １１７…管理手段、 １３１…優先順位テーブル、 １３２…許容範囲テーブル、 １３３…しきい値テーブル、 １３４…分散処理テーブル、 １３５…抹消処理テーブル

Claims (9)

1. 制御部と、記憶部とを有し、集計処理を行う際に集計データの秘匿処理を実行する秘匿集計システムであって、
   前記記憶部が、集計対象の複数の要素について優先順位を設定する優先順位テーブルと、前記各要素について許容範囲を秘匿レベルで設定する許容範囲テーブルと、要素毎に集計の最小単位毎に、更に上位の集計単位毎に集計データの秘匿処理を行うか否かを決定するしきい値を設定するしきい値テーブルと有し、
   前記制御部が、プログラムの動作によって実現する手段として、
   前記優先順位テーブルを参照し、優先順位が低い要素を判別する優先順位決定手段と、
   当該要素について前記許容範囲テーブルを参照し、秘匿レベルを最低にして、処理対象の要素が許容範囲内か否かを判定にする許容範囲決定手段と、
   許容範囲内であれば、前記しきい値テーブルを参照し、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定するしきい値判定手段と、
   前記全ての集計項目でしきい値を越えた場合に、秘匿処理を終了させる管理手段とを有し、
   前記許容範囲決定手段が、前記全ての集計項目のいずれかでしきい値を越えていない場合に、前記許容範囲テーブルを参照して、要素の秘匿レベルを１レベル広義にし、前記広義にした秘匿レベルが当該要素について許容範囲内であるか否かを判定し、許容範囲内であれば、前記しきい値判定手段で秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、前記全ての集計項目でしきい値を越えた場合に、前記管理手段で秘匿処理を終了させることを特徴とする秘匿集計システム。
2. 許容範囲決定手段が、許容範囲テーブルを参照し、秘匿レベルが要素について許容範囲内であるか判定し、許容範囲内でない場合に、優先順位決定手段が、優先順位テーブルを参照し、次の優先順位の要素について設定されている優先順位を越えているか否かを判定し、設定されている優先順位を越えていなければ、前記許容範囲決定手段が、前記要素について前記許容範囲テーブルを参照し、秘匿レベルを最低にして、処理対象の要素が許容範囲内か否かを判定し、前記次の優先順位の要素について設定されている優先順位を越えている場合には、管理手段が、秘匿処理が行われなかったとして処理を終了することを特徴とする請求項１記載の秘匿集計システム。
3. しきい値判定手段が、しきい値テーブルを参照し、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、前記全ての集計項目のいずれかでしきい値を越えていない場合に、管理手段が、分散処理が設定されているか否かを判定し、設定されている場合に、制御部のプログラム動作によって実現される分散処理実行手段が、集計データについて分散処理を行い、更に、前記しきい値判定手段が、前記秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを再度判定することを特徴とする請求項１又は２記載の秘匿集計システム。
4. しきい値判定手段が、しきい値テーブルを参照し、秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、前記全ての集計項目のいずれかでしきい値を越えていない場合に、管理手段が、抹消処理が設定されているか否かを判定し、設定されている場合に、制御部のプログラム動作によって実現される抹消処理実行手段が、集計データについて抹消処理を行い、更に、前記しきい値判定手段が、前記秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを再度判定することを特徴とする請求項１又は２記載の秘匿集計システム。
5. 分散処理実行手段が、分散回数が予め設定された回数より多い場合に、分散処理を実行せず、許容範囲決定手段が、許容範囲テーブルを参照して、要素の秘匿レベルを１レベル広義にし、前記広義にした秘匿レベルが当該要素について許容範囲内であるか否かを判定することを特徴とする請求項３記載の秘匿集計システム。
6. 抹消処理実行手段が、抹消割合が予め設定された割合より高い場合に、抹消処理を実行せず、許容範囲決定手段が、許容範囲テーブルを参照して、要素の秘匿レベルを１レベル広義にし、前記広義にした秘匿レベルが当該要素について許容範囲内であるか否かを判定することを特徴とする請求項４記載の秘匿集計システム。
7. 表示装置を備え、
   記憶部には、地図データを記憶し、
   制御部のプログラム動作によって実現される地図情報表示手段が、前記地図データを前記表示装置に表示し、秘匿処理された集計データを重ねて表示することを特徴とする請求項１乃至６のいずれか記載の秘匿集計システム。
8. 制御部が、プログラムの動作によって実現される手段として、
   秘匿処理が実行された場合に、秘匿処理が実行される順位について要素と秘匿レベルを処理順位テーブルとして生成する処理順位テーブル生成手段と、
   前記生成された処理順位テーブルの順位を変更する処理順位テーブル変更手段と、
   前記変更された処理順位テーブルの順位に従い、当該順位が示す要素と秘匿レベルについてしきい値テーブルを参照して、当該秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定し、前記全ての集計項目のいずれかでしきい値を越えていない場合には、前記処理順位テーブルの次に順位の要素と秘匿レベルについて前記しきい値テーブルを参照して、当該秘匿レベルにおける全ての集計項目でしきい値を越えたか否かを判定する処理順位テーブル実行手段とを有し、
   管理手段が、前記全ての集計項目でしきい値を越えている場合に、秘匿処理を終了させることを特徴とする請求項１乃至７のいずれか記載の秘匿集計システム。
9. 処理順位テーブル生成手段が、処理順位テーブルにおいて、前回秘匿処理が為された要素と秘匿レベルに、秘匿処理が為されたことを示す識別情報を付与したことを特徴とする請求項８記載の秘匿集計システム。

Images