JP2011113285A - 公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラム - Google Patents

Abstract

【課題】データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持する。
【解決手段】公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定し、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。そして、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、選択された加工方法でデータの加工を行う。
【選択図】図５

Description

本発明は、医療情報などの公開情報に対するプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムに関する。

従来より、多くのデータに基づいて、統計処理を行って、例えば、特定の病気にかかりやすい年代、性別、地域、人種といった情報を広く公開して、その傾向分析を行い、その対策に用いる場合がある。

ところが、データを公開する場合には、そのデータの所有者が特定されないように、プライバシーを慎重に保護する必要があるため、データの変形処理を行う必要がある。そのため、今までにも、プライバシーを保護するためのデータの変形処理に関する技術が多く開示されている（例えば、非特許文献１参照。）。

Ｂ．Ｆｕｎｇ ａｎｄ Ｋ．Ｗａｎｇ ａｎｄ Ｐ．Ｙｕ， "Ｔｏｐ−ｄｏｗｎ ｓｐｅｃｉａｌｉｚａｔｉｏｎ ｆｏｒ ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖａｔｉｏｎ"Ｐｒｏｃ ｏｆ ＩＣＤＥ ２００５ ｐｐ．２０５−２１６

しかしながら、これまでの手法においては、最適k−匿名性を満たすためにすべてのデータを平等に扱っていたが、データ利用者が求める情報が欠落してしまうという問題点があった。

そこで、本発明は、上述の課題に鑑みてなされたものであり、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持する公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムを提供することを目的とする。

発明者は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。

（１）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する設定手段（例えば、図１の設定部２に相当）と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する算出手段（例えば、図１の算出部３に相当）と、該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する加工方法選択手段（例えば、図１の加工方法選択部４に相当）と、該選択された加工方法でデータの加工を行うデータ加工手段（例えば、図１の加工部５に相当）と、を備えたことを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、設定手段は、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。算出手段は、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。加工方法選択手段は、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する。データ加工手段は、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、ボトムアップ処理を適用した関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（２）本発明は、（１）の公開情報のプライバシー保護装置について、前記加工方法選択手段が、ボトムアップ処理を用いて、データの加工方法を選択することを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、加工方法選択手段が、ボトムアップ処理を用いて、データの加工方法を選択する。つまり、ボトムアップ処理においては、各属性について同一データを集めてソート処理及びグループ化処理を行い、各属性の属性値の数を算出し、評価ポイントを算出する。そして、設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、加工処理による評価ポイントの減少分を算出して、選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行うため、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（３）本発明は、（１）の公開情報のプライバシー保護装置について、前記データ加工手段は、前記設定手段において設定された優先順位（重み付け）が最も低いものからｋ−匿名性を満足するまで加工を行うことを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、データ加工手段は、設定手段において設定された優先順位（重み付け）が最も低いものからｋ−匿名性を満足するまで加工を行う。これにより、直接的には、ユーザとの関連性の低い複数の情報を組み合わせることによりユーザを特定することも防止することにより、データ利用者が求める情報を可能な限り保持することができる。

（４）本発明は、（１）の公開情報のプライバシー保護装置について、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）、削除すべき情報に分類する分類手段（例えば、図１の分類部１に相当）を備えたことを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、分類手段は、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）、削除すべき情報に分類する。したがって、ユーザを特定できるような情報を排除するとともに、情報の関連性を低くして、複数の情報を組み合わせることによりユーザを特定することも防止できる。

（５）本発明は、（４）の公開情報のプライバシー保護装置について、前記重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）は、加工の対象とはならず、前記削除すべき情報は、加工の際に、自動的に削除されることを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）は、加工の対象とはならず、前記削除すべき情報は、加工の際に、自動的に削除される。これにより、ユーザを直接的に特定できる情報を排除してプライバシーを保護するとともに、重要な情報を公開することができる。

（６）本発明は、（１）の公開情報のプライバシー保護装置について、前記算出手段は、各属性が持つ属性値の種類の数に前記設定手段において設定された優先順位（重み付け）を乗じて前記評価ポイントを算出することを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、算出手段は、各属性が持つ属性値の種類の数に前記設定手段において設定された優先順位（重み付け）を乗じて前記評価ポイントを算出する。したがって、属性値の種類の数が多く、優先順位（重み付け）が高いものほど、元の情報が保持される確率が高くなる。

（７）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する設定手段と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する算出手段と、該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する加工方法選択手段と、該選択された加工方法でデータの加工を行うデータ加工手段と、を備えたことを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、設定手段は、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。算出手段は、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。加工方法選択手段は、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する。データ加工手段は、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、トップダウン処理を適用した関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（８）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップ（例えば、図５のステップＳ２０１に相当）と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップ（例えば、図５のステップＳ２０２に相当）と、該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する第３のステップ（例えば、図５のステップＳ２０３に相当）と、該選択された加工方法でデータの加工を行う第４のステップ（例えば、図５のステップＳ２０４に相当）と、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。

この発明によれば、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定し、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。そして、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（９）本発明は、データの加工を行うための方法を選択するボトムアップ処理方法であって、各属性について同一データを集めてソート処理及びグループ化処理を行う第１のステップ（例えば、図４のステップＳ１０１に相当）と、各属性の属性値の数を算出する第２のステップ（例えば、図４のステップＳ１０２に相当）と、評価ポイントを算出する第３のステップ（例えば、図４のステップＳ１０３に相当）と、設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、加工処理による評価ポイントの減少分を算出する第４のステップ（例えば、図４のステップＳ１０４に相当）と、選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行う第５のステップ（例えば、図４のステップＳ１０５に相当）と、を備えたことを特徴とするボトムアップ処理方法を提案している。

この発明によれば、各属性について同一データを集めてソート処理及びグループ化処理を行い、各属性の属性値の数を算出し、評価ポイントを算出する。そして、設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、加工処理による評価ポイントの減少分を算出して、選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行う。したがって、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（１０）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する第３のステップと、該選択された加工方法でデータの加工を行う第４のステップと、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。

この発明によれば、設定手段は、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。算出手段は、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。加工方法選択手段は、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する。データ加工手段は、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、トップダウン処理を適用した関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（１１）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップ（例えば、図５のステップＳ２０１に相当）と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップ（例えば、図５のステップＳ２０２に相当）と、該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する第３のステップ（例えば、図５のステップＳ２０３に相当）と、該選択された加工方法でデータの加工を行う第４のステップ（例えば、図５のステップＳ２０４に相当）と、をコンピュータに実行させるためのプログラムを提案している。

この発明によれば、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定し、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。そして、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（１２）本発明は、データの加工を行うための方法を選択するボトムアップ処理方法をコンピュータに実行させるためのプログラムであって、各属性について同一データを集めてソート処理及びグループ化処理を行う第１のステップ（例えば、図４のステップＳ１０１に相当）と、各属性の属性値の数を算出する第２のステップ（例えば、図４のステップＳ１０２に相当）と、評価ポイントを算出する第３のステップ（例えば、図４のステップＳ１０３に相当）と、設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、加工処理による評価ポイントの減少分を算出する第４のステップ（例えば、図４のステップＳ１０４に相当）と、選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行う第５のステップ（例えば、図４のステップＳ１０５に相当）と、をコンピュータに実行させるためのプログラムを提案している。

この発明によれば、各属性について同一データを集めてソート処理及びグループ化処理を行い、各属性の属性値の数を算出し、評価ポイントを算出する。そして、設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、加工処理による評価ポイントの減少分を算出して、選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行う。したがって、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（１３）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する第３のステップと、該選択された加工方法でデータの加工を行う第４のステップと、をコンピュータに実行させるためのプログラムを提案している。

この発明によれば、設定手段は、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。算出手段は、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。加工方法選択手段は、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する。データ加工手段は、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、トップダウン処理を適用した関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

本発明によれば、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持することができるという効果がある。

本実施形態に係る公開情報のプライバシー保護装置の構成図である。 本実施形態に係る加工処理前のデータを例示した図である。 本実施形態に係るボトムアップ処理を示したイメージ図である。 本実施形態に係る公開情報のプライバシー保護装置の処理フローである。 本実施形態に係るボトムアップ処理の処理フローである。

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜公開情報のプライバシー保護装置の構成＞
図１を用いて、本実施形態に係る公開情報のプライバシー保護装置の構成について説明する。本実施形態に係る公開情報のプライバシー保護装置は、図１に示すように、分類部１と、設定部２と、算出部３と、加工方法選択部４と、加工部５とから構成されている。

分類部１は、元データをそのデータの各属性に応じて、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）、削除すべき情報に分類する。なお、実際には、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を用いて、コンピュータ上のグラフィックス表示をマウスなどでポインティングすることにより、利用者が分類を行う。なお、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）に指定された属性の変更は行われない。また、削除すべき情報に指定された情報は加工処理の際に自動的に削除される。これにより、ユーザを直接的に特定できる情報を排除してプライバシーを保護するとともに、重要な情報を公開することができる。

設定部２は、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。具体的には、各属性の重み付けは、利用者の入力により行われる。重み付けは、属性の優先順位を表わし、利用者が最も重視する属性を最上位とする。また、加工処理においては、 優先順位が最下位の属性から順に加工処理を行い、 ｋ−匿名性を満たした段階で終了する。従って、最上位の属性ほど元の情報が保持される確率が高くなる。また、これにより、直接的には、ユーザとの関連性の低い複数の情報を組み合わせることによりユーザを特定することも防止することにより、データ利用者が求める情報を可能な限り保持することができる。利用者は、 ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を利用して各属性に対して優先順位を入力する。利用者は、各優先順位に対して、 重み付けポイント（数値）を設定する。この値は、加工処理を行う属性を選択する際に使用する。

算出部３は、設定部２において設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。具体的には、評価ポイントは、以下の数式を用いて、算出される。
評価ポイント＝（属性値の数）＊（重み付けポイント）
ここで、（属性値の数）とは、その属性が持つ属性値の種類の数を表す。加工処理によって、この評価ポイントの減少が最小になる属性を加工処理を行う属性として選択する。

加工方法選択部４は、算出部３が算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する。なお、加工方法選択部４は、ボトムアップ処理を用いている。ボトムアップ処理の詳細については、後述する。ただし、本実施形態においては、ボトムアップ処理を用いた例について説明するが、これに限らず、先行技術文献に記載されているトップダウン処理を用いてもよい。加工部５は、加工方法選択部４において選択された加工方法でデータの加工を行う。

＜加工処理前のデータ＞
図２を用いて、加工処理前のデータについて、説明する。
図２は、加工処理前のデータとして医療情報を例示したものであり、本例では、データの属性として、「名前」、「年齢」、「性別」、「出身地」、「人種」、「病名」等が例示されている。

本例では、女性である２５歳のＡが東京出身の日本人であって、肥満症という病気を持っており、男性である３７歳のＢが北海道出身の日本人であって、糖尿病という病気を持っており、男性である５５歳のＣが沖縄出身の日本人であって、高血圧症という病気を持っていることが示されている。

このうち、「名前」という属性は、個人を直接的に特定できるものであるため、「削除すべき情報」に分類される。また、「病名」という属性は、プライバシー情報であるため、「重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）」に分類される。さらに、「年齢」、「性別」、「出身地」、「人種」という属性は、直接的に個人を特定できる情報ではないため、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」に分類され、利用者の利用目的に応じて、重み付けが行われる。

＜ボトムアップ処理＞
図３は、ボトムアップ処理を示したイメージ図である。この図に示すように、ボトムアップ処理は、始点から終点に至るボトムアップにより匿名データを生成する処理である。このボトムアップ処理について、図３および図４を用いて、詳細に説明する。

まず、図３に示すように、始点と終点および最適ｋ−匿名性を満たす領域を設定し、各属性について同一データを集めてソート処理及びグループ化処理を行う（ステップＳ１０１）。次に、各属性の属性値の数を算出して、これを図３のようにプロットする（ステップＳ１０２）。

次に、評価ポイントを算出する（ステップＳ１０３）。そして、設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、始点から順にボトムアップし、直近の階層において複数に分岐する要素について加工処理による評価ポイントの減少分を算出する（ステップＳ１０４）。

図３を用いて具体的に説明すると、始点に対して、「Ａ」および「Ｂ」の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。図３の例では、これを「Ｂ」とする。「Ｂ」には、同様に、「Ｃ」、「Ｄ」、「Ｅ」の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。図３の例では、これを「Ｄ」とする。「Ｄ」には、同様に、「Ｆ」、「Ｇ」、「Ｈ」の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。図３の例では、これを「Ｇ」とする。「Ｇ」には、同様に、「Ｉ」、「Ｊ」、「Ｋ」の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。図３の例では、これを「Ｊ」とする。このような処理を最適ｋ−匿名性に至るまで実行する。

つまり、上記のように、選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行う（ステップＳ１０５）。ｋ−匿名性の判定では、 入力されたデータセットがｋ−匿名性を満たすかどうか判定し、満たす場合はデータを匿名データセット出力に受け渡す。満たさない場合、満たさなかったグループをフィードバック情報として、ステップＳ１０１に戻す。したがって、ボトムアップ処理においては、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止することができる。

なお、トップダウン処理は、上記において説明したボトムアップ処理とは、反対の処理であって、図３に示した場合では、終点から始点に至るボトムアップにより匿名データを生成する処理である。つまり、ボトムアップ処理では、各属性に属するデータが予めいくつかのデータのかたまりとして規定されているために、上記に示した評価ポイントは、減少し、その減少分が最小のものを選択するが、トップダウン処理では、各属性に属するデータをまずひとつのかたまりとして扱い、順次、これを細分化して処理を行うため、評価ポイントは増加し、その増加分が最大のものを選択する。このような差異は、あるものの、結果としては、トップダウン処理を用いた場合においても、上記のボトムアップ処理を用いた場合と同様の効果が得られる。

＜公開情報のプライバシー保護装置の処理＞
図５を用いて、公開情報のプライバシー保護装置の処理について説明する。
まず、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する（ステップＳ１０２）。設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する（ステップＳ１０２）。

そして、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し（ステップＳ１０３）、その選択された加工方法でデータの加工を行う（ステップＳ１０４）。

したがって、本実施形態によれば、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持することができる。

なお、公開情報のプライバシー保護装置をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを公開情報のプライバシー保護装置に読み込ませ、実行することによって本発明の認証システムを実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１；分類部
２；設定部
３；算出部
４；加工方法選択部
５；加工部

Claims (13)

1. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、
   公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する設定手段と、
   該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する算出手段と、
   該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する加工方法選択手段と、
   該選択された加工方法でデータの加工を行うデータ加工手段と、
   を備えたことを特徴とする公開情報のプライバシー保護装置。
2. 前記加工方法選択手段が、ボトムアップ処理を用いて、データの加工方法を選択することを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
3. 前記データ加工手段は、前記設定手段において設定された優先順位（重み付け）が最も低いものからｋ−匿名性を満足するまで加工を行うことを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
4. データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）、削除すべき情報に分類する分類手段を備えたことを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
5. 前記重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）は、加工の対象とはならず、前記削除すべき情報は、加工の際に、自動的に削除されることを特徴とする請求項４に記載の公開情報のプライバシー保護装置。
6. 前記算出手段は、各属性が持つ属性値の種類の数に前記設定手段において設定された優先順位（重み付け）を乗じて前記評価ポイントを算出することを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
7. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、
   公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する設定手段と、
   該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する算出手段と、
   該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する加工方法選択手段と、
   該選択された加工方法でデータの加工を行うデータ加工手段と、
   を備えたことを特徴とする公開情報のプライバシー保護装置。
8. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、
   公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、
   該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、
   該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する第３のステップと、
   該選択された加工方法でデータの加工を行う第４のステップと、
   を備えたことを特徴とする公開情報のプライバシー保護方法。
9. データの加工を行うための方法を選択するボトムアップ処理方法であって、
   各属性について同一データを集めてソート処理及びグループ化処理を行う第１のステップと、
   各属性の属性値の数を算出する第２のステップと、
   評価ポイントを算出する第３のステップと、
   設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、加工処理による評価ポイントの減少分を算出する第４のステップと、
   選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行う第５のステップと、
   を備えたことを特徴とするボトムアップ処理方法。
10. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、
    公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、
    該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、
    該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する第３のステップと、
    該選択された加工方法でデータの加工を行う第４のステップと、
    を備えたことを特徴とする公開情報のプライバシー保護方法。
11. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
    公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、
    該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、
    該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する第３のステップと、
    該選択された加工方法でデータの加工を行う第４のステップと、
    をコンピュータに実行させるためのプログラム。
12. データの加工を行うための方法を選択するボトムアップ処理方法をコンピュータに実行させるためのプログラムであって、
    各属性について同一データを集めてソート処理及びグループ化処理を行う第１のステップと、
    各属性の属性値の数を算出する第２のステップと、
    評価ポイントを算出する第３のステップと、
    設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、加工処理による評価ポイントの減少分を算出する第４のステップと、
    選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行う第５のステップと、
    をコンピュータに実行させるためのプログラム。
13. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
    公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、
    該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、
    該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する第３のステップと、
    該選択された加工方法でデータの加工を行う第４のステップと、
    をコンピュータに実行させるためのプログラム。

Images