JP2011128862A - 公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラム - Google Patents

Abstract

【課題】一旦ボトムアップ処理あるいはトップダウン処理のいずれかにより一般化を実施した後、もう一方の処理により逆方向に変形することによって最適な表を導出する。
【解決手段】公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定し、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。そして、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、選択された加工方法でデータの加工を行う。
【選択図】図５

Description

本発明は、医療情報などの公開情報に対するプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムに関する。

従来より、多くのデータに基づいて、統計処理を行って、例えば、特定の病気にかかりやすい年代、性別、地域、人種といった情報を広く公開して、その傾向分析を行い、その対策に用いる場合がある。

ところが、データを公開する場合には、そのデータの所有者が特定されないように、プライバシーを慎重に保護する必要があるため、データの変形処理を行う必要がある。そのため、今までにも、プライバシーを保護するためのデータの変形処理に関する技術が多く開示されている（例えば、非特許文献１参照。）。

Ｂ．Ｆｕｎｇ ａｎｄ Ｋ．Ｗａｎｇ ａｎｄ Ｐ．Ｙｕ， "Ｔｏｐ−ｄｏｗｎ ｓｐｅｃｉａｌｉｚａｔｉｏｎ ｆｏｒ ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖａｔｉｏｎ"Ｐｒｏｃ ｏｆ ＩＣＤＥ ２００５ ｐｐ．２０５−２１６

しかしながら、これまでの手法においては、最適ｋ−匿名性を満たすためにすべてのデータを平等に扱っていたが、データ利用者が求める情報が欠落してしまうという問題点があった。また、データの加工時に各データに対して優先順位を設定し、特殊な関数を用いて変形したデータを評価することにより、データ利用者が求める情報を可能な限り保持する方法も考えられるが、早期に枝刈りを実施するため、必ずしも最適な表が導出されるとは限らないという問題があった。

そこで、本発明は、上述の課題に鑑みてなされたものであり、一旦ボトムアップ処理あるいはトップダウン処理のいずれかにより一般化を実施した後、もう一方の処理により逆方向に変形することによって最適な表を導出する公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムを提供することを目的とする。

発明者は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。

（１）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する設定手段（例えば、図１の設定部２に相当）と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する算出手段（例えば、図１の算出部３に相当）と、該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する加工方法選択手段（例えば、図１の加工方法選択部４に相当）と、該選択された加工方法でデータの加工を行うデータ加工手段（例えば、図１の加工部５に相当）と、を備えたことを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、設定手段は、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。算出手段は、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。加工方法選択手段は、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する。データ加工手段は、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、ボトムアップ処理を適用した関数を用いてデータを変形し、次いで、トップダウン処理を適用した関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。また、これにより、可能な限り最適な表を導出することができる。

（２）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する設定手段（例えば、図１の設定部２に相当）と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する算出手段（例えば、図１の算出部３に相当）と、該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する加工方法選択手段（例えば、図１の加工方法選択部４に相当）と、該選択された加工方法でデータの加工を行うデータ加工手段（例えば、図１の加工部５に相当）と、を備えたことを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、設定手段は、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。算出手段は、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。加工方法選択手段は、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する。データ加工手段は、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、ボトムアップ処理を適用した関数を用いてデータを変形し、次いで、トップダウン処理を適用した関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。また、これにより、可能な限り最適な表を導出することができる。

（３）本発明は、（１）の公開情報のプライバシー保護装置について、前記算出した評価ポイントの減少分が最小となるようなデータの加工方法が、ボトムアップ処理を用いて、データの加工方法であることを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、算出した評価ポイントの減少分が最小となるようなデータの加工方法が、ボトムアップ処理を用いて、データの加工方法である。つまり、ボトムアップ処理においては、各属性について同一データを集めてソート処理およびグループ化処理を行い、各属性の属性値の数を算出し、評価ポイントを算出する。そして、設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、加工処理による評価ポイントの減少分を算出して、選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行うため、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（４）本発明は、（１）の公開情報のプライバシー保護装置について、前記算出した評価ポイントの増加分が最大となるようなデータの加工方法が、トップダウン処理を用いて、データの加工方法であることを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、算出した評価ポイントの増加分が最大となるようなデータの加工方法が、トップダウン処理を用いて、データの加工方法である。つまり、トップダウン処理においては、各属性について同一データを集めてソート処理およびグループ化処理を行い、各属性の属性値の数を算出し、評価ポイントを算出する。そして、設定された優先順位情報（重み付け）とｋ−匿名性判定からに基づいて、加工処理を行う属性およびグループを選択し、加工処理による評価ポイントの増加分を算出して、選択したグループにおいて加工処理を行い、データセット全体の処理結果に基づいて、ｋ−匿名性の判定を行うため、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。

（５）本発明は、（１）の公開情報のプライバシー保護装置について、前記データ加工手段は、前記設定手段において設定された優先順位（重み付け）が最も低いものからｋ−匿名性を満足するまで加工を行うことを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、データ加工手段は、設定手段において設定された優先順位（重み付け）が最も低いものからｋ−匿名性を満足するまで加工を行う。これにより、直接的には、ユーザとの関連性の低い複数の情報を組み合わせることによりユーザを特定することも防止することにより、データ利用者が求める情報を可能な限り保持することができる。

（６）本発明は、（１）の公開情報のプライバシー保護装置について、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）、削除すべき情報に分類する分類手段（例えば、図１の分類部１に相当）を備えたことを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、分類手段は、データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）、削除すべき情報に分類する。したがって、ユーザを特定できるような情報を排除するとともに、情報の関連性を低くして、複数の情報を組み合わせることによりユーザを特定することも防止できる。

（７）本発明は、（４）の公開情報のプライバシー保護装置について、前記重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）は、加工の対象とはならず、前記削除すべき情報は、加工の際に、自動的に削除されることを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）は、加工の対象とはならず、前記削除すべき情報は、加工の際に、自動的に削除される。これにより、ユーザを直接的に特定できる情報を排除してプライバシーを保護するとともに、重要な情報を公開することができる。

（８）本発明は、（１）の公開情報のプライバシー保護装置について、前記算出手段は、各属性が持つ属性値の種類の数に前記設定手段において設定された優先順位（重み付け）を乗じて前記評価ポイントを算出することを特徴とする公開情報のプライバシー保護装置を提案している。

この発明によれば、算出手段は、各属性が持つ属性値の種類の数に前記設定手段において設定された優先順位（重み付け）を乗じて前記評価ポイントを算出する。したがって、属性値の種類の数が多く、優先順位（重み付け）が高いものほど、元の情報が保持される確率が高くなる。

（９）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップ（例えば、図４のステップＳ２００に相当）と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップ（例えば、図５のステップＳ３０３および図６のステップＳ５０３に相当）と、該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する第３のステップ（例えば、図４のステップＳ３００およびステップＳ５００に相当）と、該選択された加工方法でデータの加工を行う第４のステップ（例えば、図５のステップＳ３０６および図６のステップＳ５０６に相当）と、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。

この発明によれば、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定し、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。そして、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。また、これにより、可能な限り最適な表を導出することができる。

（１０）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップ（例えば、図４のステップＳ２００に相当）と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップ（例えば、図５のステップＳ３０３および図６のステップＳ５０３に相当）と、該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する第３のステップ（例えば、図４のステップＳ３００およびステップＳ５００に相当）と、該選択された加工方法でデータの加工を行う第４のステップ（例えば、図５のステップＳ３０６および図６のステップＳ５０６に相当）と、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。

この発明によれば、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定し、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。そして、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。また、これにより、可能な限り最適な表を導出することができる。

（１１）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップ（例えば、図４のステップＳ２００に相当）と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップ（例えば、図５のステップＳ３０３および図６のステップＳ５０３に相当）と、該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する第３のステップ（例えば、図４のステップＳ３００およびステップＳ５００に相当）と、該選択された加工方法でデータの加工を行う第４のステップ（例えば、図５のステップＳ３０６および図６のステップＳ５０６に相当）と、をコンピュータに実行させるためのプログラムを提案している。

この発明によれば、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定し、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。そして、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。また、これにより、可能な限り最適な表を導出することができる。

（１２）本発明は、データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップ（例えば、図４のステップＳ２００に相当）と、該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップ（例えば、図５のステップＳ３０３および図６のステップＳ５０３に相当）と、該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する第３のステップ（例えば、図４のステップＳ３００およびステップＳ５００に相当）と、該選択された加工方法でデータの加工を行う第４のステップ（例えば、図５のステップＳ３０６および図６のステップＳ５０６に相当）と、をコンピュータに実行させるためのプログラムを提案している。

この発明によれば、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定し、設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。そして、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、選択された加工方法でデータの加工を行う。したがって、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持するとともに、データの欠落を防止する。また、これにより、可能な限り最適な表を導出することができる。

本発明によれば、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持することができるという効果がある。また、可能な限り最適な表を導出することができるという効果がある。

本実施形態に係る公開情報のプライバシー保護装置の構成図である。 本実施形態に係る加工処理前のデータを例示した図である。 本実施形態に係るボトムアップ処理およびトップダウン処理を示したイメージ図である。 本実施形態に係る公開情報のプライバシー保護装置の処理フローである。 本実施形態に係るボトムアップ処理の処理フローである。 本実施形態に係るトップダウン処理の処理フローである。

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜公開情報のプライバシー保護装置の構成＞
図１を用いて、本実施形態に係る公開情報のプライバシー保護装置の構成について説明する。本実施形態に係る公開情報のプライバシー保護装置は、図１に示すように、分類部１と、設定部２と、算出部３と、加工方法選択部４と、加工部５とから構成されている。

分類部１は、元データをそのデータの各属性に応じて、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）、削除すべき情報に分類する。なお、実際には、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を用いて、コンピュータ上のグラフィックス表示をマウスなどでポインティングすることにより、利用者が分類を行う。また、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）に指定された属性の変更は行われない。さらに、削除すべき情報に指定された情報は加工処理の際に自動的に削除される。これにより、ユーザを直接的に特定できる情報を排除してプライバシーを保護するとともに、重要な情報を公開することができる。

設定部２は、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。具体的には、各属性の重み付けは、利用者の入力により行われる。重み付けは、属性の優先順位を表わし、利用者が最も重視する属性を最上位とする。また、加工処理においては、 優先順位が最下位の属性から順に加工処理を行い、 ｋ−匿名性を満たした段階で終了する。従って、最上位の属性ほど元の情報が保持される確率が高くなる。また、これにより、直接的には、ユーザとの関連性の低い複数の情報を組み合わせることによりユーザを特定することも防止することにより、データ利用者が求める情報を可能な限り保持することができる。利用者は、 ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を利用して各属性に対して優先順位を入力する。利用者は、各優先順位に対して、 重み付けポイント（数値）を設定する。この値は、加工処理を行う属性を選択する際に使用する。

算出部３は、設定部２において設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。具体的には、評価ポイントは、以下の数式を用いて、算出される。
評価ポイント＝（属性値の数）＊（重み付けポイント）
ここで、（属性値の数）とは、その属性が持つ属性値の種類の数を表す。加工処理によって、この評価ポイントの減少が最小になる属性を加工処理を行う属性として選択する。

加工方法選択部４は、算出部３が算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する。または、算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する。

つまり、本実施形態においては、例えば、図３に示すように、ボトムアップ処理を行って、一般化を実施した後に、トップダウン処理により逆方向の変形を行って、最適な表を導出する。図３を用いて、具体的に説明すると、例えば、ボトムアップ処理を行って、最適ｋ−匿名性を満たす（Ａ２、Ｂ１、Ｃ０）を得たとしても、さらに、トップダウン処理を行い、より最適な（Ａ２、Ｂ０、Ｃ０）を得た場合には、（Ａ２、Ｂ０、Ｃ０）を最終値とする。なお、前者をボトムアップ処理、後者をトップダウン処理という。ボトムアップ処理およびトップダウン処理の詳細については、後述する。

＜加工処理前のデータ＞
図２を用いて、加工処理前のデータについて、説明する。
図２は、加工処理前のデータとして医療情報を例示したものであり、本例では、データの属性として、「名前」、「年齢」、「性別」、「出身地」、「人種」、「病名」等が例示されている。

本例では、女性である２５歳のＡが東京出身の日本人であって、肥満症という病気を持っており、男性である３７歳のＢが北海道出身の日本人であって、糖尿病という病気を持っており、男性である５５歳のＣが沖縄出身の日本人であって、高血圧症という病気を持っていることが示されている。

このうち、「名前」という属性は、個人を直接的に特定できるものであるため、「削除すべき情報」に分類される。また、「病名」という属性は、プライバシー情報であるため、「重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）」に分類される。さらに、「年齢」、「性別」、「出身地」、「人種」という属性は、直接的に個人を特定できる情報ではないため、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」に分類され、利用者の利用目的に応じて、重み付けが行われる。

＜公開情報のプライバシー保護装置の処理＞
図４を用いて、本実施形態に係る公開情報のプライバシー保護装置の処理について説明する。

まず、公開情報のプライバシー保護装置にオリジナルデータをセットする（ステップＳ１００）。次いで、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定し（ステップＳ２００）、ボトムアップ処理を実行して（ステップＳ３００）、実施結果としてデータセット全体を最適ｋ−匿名性の判定部に入力する。

最適ｋ−匿名性の判定部では、入力されたデータセットが最適ｋ−匿名性を満たすか否かを判定する（ステップＳ４００）。そして、入力されたデータセットが最適ｋ−匿名性を満たさなかった場合には、フィードバック情報として、満たさなかったグループをボトムアップ処理実行部に戻す。次に、トップダウン処理を行い（ステップＳ５００）、実施結果としてデータセット全体を最適ｋ−匿名性の判定部に入力する。

最適ｋ−匿名性の判定部では、入力されたデータセットが最適ｋ−匿名性を満たすか否かを判定し（ステップＳ６００）、入力されたデータセットが最適ｋ−匿名性を満たす場合には、データを匿名データセットに出力する（ステップＳ７００）。一方で、入力されたデータセットが最適ｋ−匿名性を満たさなかった場合には、フィードバック情報として、満たさなかったグループをトップダウン処理実行部に戻す。なお、本実施形態では、ボトムアップ処理をトップダウン処理よりも先に行う例について、説明したが、トップダウン処理を先に行ってからボトムアップ処理を行ってもよい。

＜ボトムアップ処理＞
図５を用いて、ボトムアップ処理について説明する。

まず、各属性について同一データを集めてソート処理およびグループ化処理を行う（ステップＳ３０１）。そして、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。次に、各属性の属性値の数を算出する（ステップＳ３０２）。

次に、評価ポイントを算出する（ステップＳ３０３）。そして、設定された優先順位情報（重み付け）とｋ−匿名性判定からのフィードバックに基づいて、加工処理を行う属性およびグループを選択し（ステップＳ３０４）、一般化による評価ポイントの減少分を算出し（ステップＳ３０５）、選択したグループを一般化する（ステップＳ３０６）。

図３を用いて具体的に説明すると、オリジナルデータセット（Ａ０、Ｂ０、Ｃ０）に対して、（Ａ１、Ｂ０、Ｃ０）、（Ａ０、Ｂ１、Ｃ０）、（Ａ０、Ｂ０、Ｃ１）の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。図３の例では、これを（Ａ１、Ｂ０、Ｃ０）とする。（Ａ１、Ｂ０、Ｃ０）には、同様に、（Ａ２、Ｂ０、Ｃ０）、（Ａ１、Ｂ１、Ｃ０）、（Ａ１、Ｂ０、Ｃ１）の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。図３の例では、これを（Ａ２、Ｂ０、Ｃ０）とする。（Ａ２、Ｂ０、Ｃ０）には、同様に、（Ａ２、Ｂ１、Ｃ０）、（Ａ２、Ｂ０、Ｃ１）の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。このような処理を最適ｋ−匿名性に至るデータ、例えば、（Ａ２、Ｂ１、Ｃ０）まで実行する。

＜トップダウン処理＞
図６を用いて、トップダウン処理について説明する。
まず、各属性について同一データを集めてソート処理およびグループ化処理を行う（ステップＳ５０１）。次に、各属性の属性値の数を算出する（ステップＳ５０２）。

次に、評価ポイントを算出する（ステップＳ５０３）。そして、設定された優先順位情報（重み付け）とｋ−匿名性判定からのフィードバックに基づいて、加工処理を行う属性およびグループを選択し（ステップＳ５０４）、一般化による評価ポイントの増加分を算出し（ステップＳ５０５）、選択したグループを一般化する（ステップＳ５０６）。なお、トップダウン処理は、ボトムアップ処理とは、逆方向に行われる処理であり、加工処理による評価ポイントの増加分が最大となるものを選択し、このような処理を最適ｋ−匿名性に至るデータまで実行する。

したがって、本実施形態によれば、データの加工時に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することで、データ利用者が求める情報を可能な限り保持することができる。また、可能な限り最適な表を導出することができる。

なお、公開情報のプライバシー保護装置の処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを公開情報のプライバシー保護装置に読み込ませ、実行することによって本発明の公開情報のプライバシー保護装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１；分類部
２；設定部
３；算出部
４；加工方法選択部
５；加工部

Claims (12)

1. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、
   公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する設定手段と、
   該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する算出手段と、
   該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する加工方法選択手段と、
   該選択された加工方法でデータの加工を行うデータ加工手段と、
   を備えたことを特徴とする公開情報のプライバシー保護装置。
2. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置であって、
   公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する設定手段と、
   該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する算出手段と、
   該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する加工方法選択手段と、
   該選択された加工方法でデータの加工を行うデータ加工手段と、
   を備えたことを特徴とする公開情報のプライバシー保護装置。
3. 前記算出した評価ポイントの減少分が最小となるようなデータの加工方法が、ボトムアップ処理を用いて、データの加工方法であることを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
4. 前記算出した評価ポイントの増加分が最大となるようなデータの加工方法が、トップダウン処理を用いて、データの加工方法であることを特徴とする請求項１に記載の公開情報のプライバシー保護装置
5. 前記データ加工手段は、前記設定手段において設定された優先順位（重み付け）が最も低いものからｋ−匿名性を満足するまで加工を行うことを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
6. データの各属性を重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）、削除すべき情報に分類する分類手段を備えたことを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
7. 前記重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）は、加工の対象とはならず、前記削除すべき情報は、加工の際に、自動的に削除されることを特徴とする請求項４に記載の公開情報のプライバシー保護装置。
8. 前記算出手段は、各属性が持つ属性値の種類の数に前記設定手段において設定された優先順位（重み付け）を乗じて前記評価ポイントを算出することを特徴とする請求項１に記載の公開情報のプライバシー保護装置。
9. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、
   公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、
   該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、
   該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する第３のステップと、
   該選択された加工方法でデータの加工を行う第４のステップと、
   を備えたことを特徴とする公開情報のプライバシー保護方法。
10. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、
    公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、
    該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、
    該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する第３のステップと、
    該選択された加工方法でデータの加工を行う第４のステップと、
    を備えたことを特徴とする公開情報のプライバシー保護方法。
11. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
    公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、
    該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、
    該算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択する第３のステップと、
    該選択された加工方法でデータの加工を行う第４のステップと、
    をコンピュータに実行させるためのプログラム。
12. データを加工して、公開する情報に対するプライバシーを保護するための公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
    公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する第１のステップと、
    該設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する第２のステップと、
    該算出した評価ポイントの増加分が最大となるようなデータの加工方法を選択し、次いで、前記算出した評価ポイントの減少分が最小となるようなデータの加工方法を選択する第３のステップと、
    該選択された加工方法でデータの加工を行う第４のステップと、
    をコンピュータに実行させるためのプログラム。
    

Images