JP2011180839A - プライバシー情報評価サーバ、データ管理方法およびプログラム - Google Patents

Abstract

【課題】ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバにおいて、保管するデータの漏洩を防止し、保存データの削減および処理を高速化する。
【解決手段】ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバであって、ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行い、ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理して、変換処理後のデータを格納する。
【選択図】図７

Description

本発明は、ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバにおいて、保管するデータの漏洩を防止し、保存データの削減および処理を高速化するプライバシー情報評価サーバ、データ管理方法およびプログラムに関する。

従来より、多くのデータに基づいて、統計処理を行って、例えば、特定の病気にかかりやすい年代、性別、地域、人種といった情報を広く公開して、その傾向分析を行い、その対策に用いる場合がある。

ところが、データを公開する場合には、そのデータの所有者が特定されないように、プライバシーを慎重に保護する必要があるため、データの変形処理を行う必要がある。そのため、今までにも、プライバシーを保護するためのデータの変形処理に関する技術が多く開示されている（例えば、非特許文献１参照。）。

Ｂ．Ｆｕｎｇ ａｎｄ Ｋ．Ｗａｎｇ ａｎｄ Ｐ．Ｙｕ， "Ｔｏｐ−ｄｏｗｎ ｓｐｅｃｉａｌｉｚａｔｉｏｎ ｆｏｒ ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖａｔｉｏｎ"Ｐｒｏｃ ｏｆ ＩＣＤＥ ２００５ ｐｐ．２０５−２１６

上記の非特許文献１に記載の技術は、もっとも著名な方法であるｋ−匿名化手法に関するものである。しかしながら、このｋ−匿名化手法におけるデータの評価においては、すべてのデータからｋ−匿名性を満たす表を計算する必要があり、常にすべてのデータを保持しておかなくてはならないという問題点があった。また、すべてのデータをそのまま保管しておくため、そこから情報が漏えいする危険性があった。

そこで、本発明は、上述の課題に鑑みてなされたものであり、ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバにおいて、保管するデータの漏洩を防止し、保存データの削減および処理を高速化するプライバシー情報評価サーバ、データ管理方法およびプログラムを提供することを目的とする。

発明者は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。

（１）本発明は、ユーザ端末（例えば、図１のユーザ端末１００に相当）からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバ（例えば、図１のサービス提供者サーバ３００に相当）にデータを送信するプライバシー情報評価サーバであって、前記ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行う評価手段（例えば、図２のｋ―匿名性判定部２０に相当）と、前記ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理するデータ変換処理手段（例えば、図２のデータ変換処理部３０に相当）と、該変換処理後のデータを格納する格納手段（例えば、図２の格納部４０に相当）と、を備えたことを特徴とするプライバシー情報評価サーバを提案している。

この発明によれば、評価手段は、ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行う。データ変換処理手段は、ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理する。格納手段は、変換処理後のデータを格納する。つまり、ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理し、格納する。したがって、ユーザからのすべてのデータを保管するプライバシー情報評価サーバにおいて、これらのデータを変換処理した後、格納するため、情報の漏洩を防止することができる。

（２）本発明は、（１）のプライバシー情報評価サーバについて、前記データ変換処理手段が、一方向性関数を用いて、データを変換することを特徴とするプライバシー情報評価サーバを提案している。

この発明によれば、データ変換処理手段が、一方向性関数を用いて、データを変換する。したがって、一方向性関数を用いて、データを変換することから、処理負荷を軽くして、ユーザのデータの変換処理を行うことができる。また、一方向性関数を用いて、データを変換し、格納することから、プライバシー情報評価サーバにおいて、保存するデータ量を削減することができる。

（３）本発明は、（１）のプライバシー情報評価サーバについて、復号鍵を格納する復号鍵格納手段を備え、前記データ変換処理手段が、暗号化処理を用いて、データを変換することを特徴とするプライバシー情報評価サーバを提案している。

この発明によれば、データ変換処理手段が、暗号化処理を用いて、データを変換する。したがって、暗号化処理を用いて、データを変換することから、処理負荷を軽くして、ユーザのデータの変換処理を行うことができる。また、暗号化処理を用いて、データを変換し、格納することから、プライバシー情報評価サーバにおいて、保存するデータ量を削減することができる。

（４）本発明は、（２）のプライバシー情報評価サーバについて、前記データ変換処理手段が、前記評価手段に用いる各属性を１単位として、変換処理を行うことを特徴とするプライバシー情報評価サーバを提案している。

この発明によれば、データ変換処理手段が、評価手段に用いる各属性を１単位として、変換処理を行う。したがって、さらに、処理負荷を軽減することができる。また、これにより、プライバシー情報評価サーバにおいて、保存するデータ量を削減することができる。

（５）本発明は、（２）のプライバシー情報評価サーバについて、前記データ変換処理手段は、前記一方向性関数により生成された同一の出力値となるものを同一の記号に置き換えることを特徴とするプライバシー情報評価サーバを提案している。

この発明によれば、データ変換処理手段は、一方向性関数により生成された同一の出力値となるものを同一の記号に置き換える。したがって、保存すべきデータを圧縮することができるため、さらに、保存するデータ量を削減することができる。

（６）本発明は、（５）のプライバシー情報評価サーバについて、前記一方向性関数により生成された同一の出力値となるものの数をカウントする計数手段（例えば、図６の計数部３３に相当）と、前記一方向性関数により得られた出力値、置き換えられた前記記号および前記計数手段（例えば、図６の管理部３４に相当）がカウントしたカウント値をインデックス情報として管理する管理手段を備えたことを特徴とするプライバシー情報評価サーバを提案している。

この発明によれば、計数手段は、一方向性関数により生成された同一の出力値となるものの数をカウントし、管理手段は、一方向性関数により得られた出力値、置き換えられた記号および計数手段がカウントしたカウント値をインデックス情報として管理する。これにより、カウント値を参照して、効率よく評価作業を行うことができる。

（７）本発明は、（６）のプライバシー情報評価サーバについて、前記記号間で、その出現頻度に大きな差異がある場合に、複数の前記出力値を統合して、前記出現頻度の平準化を図る出現頻度調整手段（例えば、図６の出現頻度調整部３５に相当）を備えたことを特徴とするプライバシー情報評価サーバを提案している。

この発明によれば、出現頻度調整手段は、記号間で、その出現頻度に大きな差異がある場合に、複数の前記出力値を統合して、出現頻度の平準化を図る。これにより、頻度分析攻撃を未然に防止することができる。

（８）本発明は、（６）のプライバシー情報評価サーバについて、前記評価手段が、前記格納手段に格納された過去のデータを参照して、前記計数手段のカウント値の差分が少ない属性から評価を行うことを特徴とするプライバシー情報評価サーバを提案している。

この発明によれば、評価手段は、格納手段に格納された過去のデータを参照して、計数手段のカウント値の差分が少ない属性から評価を行う。これにより、処理の効率化を図ることができる。

（９）本発明は、ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバにおけるデータ管理方法であって、前記ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行う第１のステップ（例えば、図７のステップＳ１０１に相当）と、前記ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理する第２のステップ（例えば、図７のステップＳ１０２に相当）と、該変換処理後のデータを格納する第３のステップ（例えば、図７のステップＳ１０３に相当）と、前記評価の結果とともに、データを前記サービス提供サーバに送信する第４のステップ（例えば、図７のステップＳ１０４に相当）と、を備えたことを特徴とするデータ管理方法を提案している。

この発明によれば、ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行い、ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理する。そして、変換処理後のデータを格納し、評価の結果とともに、データをサービス提供サーバに送信する。したがって、ユーザからのすべてのデータを保管するプライバシー情報評価サーバにおいて、これらのデータを変換処理した後、格納するため、情報の漏洩を防止することができる。

（１０）本発明は、（９）のデータ管理方法について、前記第２のステップにおいて、一方向性関数を用いて、データを変換することを特徴とするデータ管理方法を提案している。

この発明によれば、第２のステップにおいて、一方向性関数を用いて、データを変換する。したがって、一方向性関数を用いて、データを変換することから、処理負荷を軽くして、ユーザのデータの変換処理を行うことができる。また、一方向性関数を用いて、データを変換し、格納することから、プライバシー情報評価サーバにおいて、保存するデータ量を削減することができる。

（１１）本発明は、（１０）のデータ管理方法について、前記第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものを同一の記号に置き換えることを特徴とするデータ管理方法を提案している。

この発明によれば、第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものを同一の記号に置き換える。したがって、保存すべきデータを圧縮することができるため、さらに、保存するデータ量を削減することができる。

（１２）本発明は、（１１）のデータ管理方法について、前記第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものの数をカウントするステップと、前記一方向性関数により得られた出力値、置き換えられた前記記号および前記カウントしたカウント値をインデックス情報として管理するステップとをさらに備えたことを特徴とするデータ管理方法を提案している。

この発明によれば、第２のステップにおいて、一方向性関数により生成された同一の出力値となるものの数をカウントし、一方向性関数により得られた出力値、置き換えられた記号およびカウントしたカウント値をインデックス情報として管理する。これにより、カウント値を参照して、効率よく評価作業を行うことができる。

（１３）本発明は、ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバにおけるデータ管理方法をコンピュータに実行させるためのプログラムであって、前記ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行う第１のステップ（例えば、図７のステップＳ１０１に相当）と、前記ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理する第２のステップ（例えば、図７のステップＳ１０２に相当）と、該変換処理後のデータを格納する第３のステップ（例えば、図７のステップＳ１０３に相当）と、前記評価の結果とともに、データを前記サービス提供サーバに送信する第４のステップ（例えば、図７のステップＳ１０４に相当）と、をコンピュータに実行させるためのプログラムを提案している。

この発明によれば、ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行い、ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理する。そして、変換処理後のデータを格納し、評価の結果とともに、データをサービス提供サーバに送信する。したがって、ユーザからのすべてのデータを保管するプライバシー情報評価サーバにおいて、これらのデータを変換処理した後、格納するため、情報の漏洩を防止することができる。

（１４）本発明は、（１３）のプログラムについて、前記第２のステップにおいて、一方向性関数を用いて、データを変換することを特徴とするプログラムを提案している。

この発明によれば、第２のステップにおいて、一方向性関数を用いて、データを変換する。したがって、一方向性関数を用いて、データを変換することから、処理負荷を軽くして、ユーザのデータの変換処理を行うことができる。また、一方向性関数を用いて、データを変換し、格納することから、プライバシー情報評価サーバにおいて、保存するデータ量を削減することができる。

（１５）本発明は、（１４）のプログラムについて、前記第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものを同一の記号に置き換えることを特徴とするプログラムを提案している。

この発明によれば、第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものを同一の記号に置き換える。したがって、保存すべきデータを圧縮することができるため、さらに、保存するデータ量を削減することができる。

（１６）本発明は、（１５）のプログラムについて、前記第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものの数をカウントするステップと、前記一方向性関数により得られた出力値、置き換えられた前記記号および前記カウントしたカウント値をインデックス情報として管理するステップとをさらに備えたことを特徴とするプログラムを提案している。

この発明によれば、第２のステップにおいて、一方向性関数により生成された同一の出力値となるものの数をカウントし、一方向性関数により得られた出力値、置き換えられた記号およびカウントしたカウント値をインデックス情報として管理する。これにより、カウント値を参照して、効率よく評価作業を行うことができる。

本発明によれば、ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバにおいて、保管するデータの漏洩を的確に防止することができるという効果がある。また、保存データの削減し、処理を高速化できるという効果がある。

本実施形態に係るプライバシー情報評価サーバが用いられるシステムの構成図である。 本実施形態に係るプライバシー情報評価サーバの構成図である。 本実施形態に係るｋ−匿名性判定部の構成図である。 本実施形態に係る加工処理前のデータを例示した図である。 本実施形態に係るボトムアップ処理およびトップダウン処理を示したイメージ図である。 本実施形態に係るデータ変換処理部の構成図である。 本実施形態に係るプライバシー情報評価サーバの処理フローである。

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜プライバシー情報評価サーバが用いられるシステムの構成＞
図１を用いて、本実施形態に係るプライバシー情報評価サーバが用いられるシステムの構成について、説明する。

本実施形態に係るプライバシー情報評価サーバが用いられるシステムは、例えば、図１に示すように、ユーザ端末１００と、プライバシー情報評価サーバ２００と、サービス提供者サーバ３００とから構成されている。

ユーザ端末１００は、サービスの提供において、プライバシー情報評価サーバ２００にユーザのプライバシー情報を送信する。一方で、プライバシー情報評価サーバ２００は、送られてきた情報からどの程度プライバシー情報が漏洩するのかを判定し、あらかじめ設定された閾値を超える場合には、ユーザに警告を発する。

プライバシー情報評価サーバ２００は、ユーザ端末１００から受信したユーザのプライバシー情報について、セキュリティポリシーに基づいて、ｋ−匿名性判定を行い、その判定結果とともにデータをサービス提供者サーバ３００に送信する。また、プライバシー情報評価サーバ２００は、ユーザ端末１００から受信したすべての情報を保管する。

サービス提供者サーバ３００は、プライバシー情報評価サーバ２００から受信した判定結果付きデータにより、ある種のサービスをユーザ端末１００に提供する。

＜プライバシー情報評価サーバの構成＞
図２を用いて、本実施形態に係るプライバシー情報評価サーバの構成について、説明する。

本実施形態に係るプライバシー情報評価サーバは、図２に示すように、受信部１０と、ｋ−匿名性判定部２０と、データ変換処理部３０と、格納部４０と、判定データ選択部５０と、データ復元部６０と、送信部７０とから構成されている。

受信部１０は、ユーザ端末１００からユーザのプライバシー情報を受信する。ｋ−匿名性判定部２０は、受信したユーザのプライバシー情報を加工して、ｋ−匿名性を満たすか否かを判定する。なお、処理の詳細については、後述する。

データ変換処理部３０は、ユーザ端末１００から受信したデータからユーザのＩＤ情報を除いた情報を変換処理する。変換処理の方法としては、出力関数に代表される一方向性関数を用いた方法でもよいし、暗号化処理による方法であってもよい。なお、データ変換処理部３０の詳細な構成については、後述する。格納部４０は、データ変換処理部３０で変換処理されたデータを格納するとともに、データ変換処理部３０において暗号化処理を用いる場合の暗号鍵を格納する。

格納部４０は、データ変換処理部３０で変換処理されたデータを格納するとともに、データ変換処理部３０において暗号化処理を用いる場合の暗号鍵を格納する。判定データ選択部５０は、格納部４０に格納されたデータから処理を効率化するためのデータを選択する。

データ復元部６０は、判定データ選択部５０により選択され、変換処理されたデータを復元して、ｋ−匿名性判定部２０に出力する。送信部７０は、ｋ−匿名性判定部２０の判定結果とともにデータをサービス提供者サーバ３００に送信する。

＜ｋ−匿名性を満足する公開情報の生成について＞
まず、図３を用いて、ｋ−匿名性を満足する公開情報の生成について説明する。ｋ−匿名性判定部２０は、図３に示すように、分類部２１と、設定部２２と、算出部２３と、加工方法選択部２４と、加工部２５とから構成されている。

分類部２１は、元データをそのデータの各属性に応じて、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）、削除すべき情報に分類する。なお、実際には、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を用いて、コンピュータ上のグラフィックス表示をマウス等でポインティングすることにより、利用者が分類を行う。また、重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）に指定された属性の変更は行われない。さらに、削除すべき情報に指定された情報は加工処理の際に自動的に削除される。これにより、ユーザを直接的に特定できる情報を排除してプライバシーを保護するとともに、重要な情報を公開することができる。

設定部２２は、公開情報を利用する利用者の要求条件を考慮して、データの各属性ごとに優先順位（重み付け）を設定する。具体的には、各属性の重み付けは、利用者の入力により行われる。重み付けは、属性の優先順位を表わし、利用者が最も重視する属性を最上位とする。また、加工処理においては、優先順位が最下位の属性から順に加工処理を行い、ｋ−匿名性を満たした段階で終了する。従って、最上位の属性ほど元の情報が保持される確率が高くなる。また、これにより、直接的には、ユーザとの関連性の低い複数の情報を組み合わせることによりユーザを特定することも防止することにより、データ利用者が求める情報を可能な限り保持することができる。利用者は、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を利用して各属性に対して優先順位を入力する。利用者は、各優先順位に対して、重み付けポイント（数値）を設定する。この値は、加工処理を行う属性を選択する際に使用する。

算出部２３は、設定部２２において設定された優先順位（重み付け）に基づいて、各データの評価ポイントを算出する。具体的には、評価ポイントは、以下の数式を用いて、算出される。
評価ポイント＝（属性値の数）＊（重み付けポイント）
ここで、（属性値の数）とは、その属性が持つ属性値の種類の数を表す。加工処理によって、この評価ポイントの減少が最小になる属性を加工処理を行う属性として選択する。

加工方法選択部２４は、算出部２３が算出した評価ポイントの減少分が最小となるようなデータの加工方法（ボトムアップ処理）あるいは、算出した評価ポイントの増加分が最大となるようなデータの加工方法（トップダウン処理）を選択する。

図５は、ボトムアップ処理とトップダウン処理の概念を示している。
ボトムアップ処理は、ボトムアップ処理により匿名データを生成する処理であり以下の手順で行う。まず、その属性について同一データを集めてソートおよびグループ化を行う。そして、各属性の属性値の数を算出する。その後、評価ポイントを算出しておく。次に、ユーザの入力した優先順位情報とｋ−匿名性判定からのフィードバック結果を基に、一般化を行う属性およびグループを選択する。その際には、一般化による評価ポイントの減少分を算出する。そして、選択したグループの一般化を行い、実施結果（データセット全体）をｋ−匿名性判定に入力する。

トップダウン処理は、トップダウン処理により匿名データを生成する処理であり以下の手順で行う。まず、その属性について同一データを集めてソートおよびグループ化を行う。そして、各属性の属性値の数を算出する。その後、評価ポイントを算出しておく。次に、ユーザの入力した優先順位情報とｋ−匿名性判定からのフィードバック結果を基に、一般化を行う属性およびグループを選択する。その際には、一般化による評価ポイントの増加分を算出する。そして、選択したグループの一般化を行い、実施結果（データセット全体）をｋ−匿名性判定に入力する。

＜加工処理前のデータ＞
図４を用いて、加工処理前のデータについて、説明する。
図４は、加工処理前のデータとして医療情報を例示したものであり、本例では、データの属性として、「名前」、「年齢」、「性別」、「出身地」、「人種」、「病名」等が例示されている。

本例では、女性である２５歳のＡは東京出身の日本人であって、肥満症という病気を持っており、男性である３７歳のＢは北海道出身の日本人であって、糖尿病という病気を持っており、男性である５５歳のＣは沖縄出身の日本人であって、高血圧症という病気を持っており、男性である４２歳のＤは埼玉出身の日本人であって、肥満という病気を持っており、女性である１８歳のＥは千葉の出身であり、貧血という病気をもっていることが示されている。

このうち、「名前」という属性は、個人を直接的に特定できるものであるため、「削除すべき情報」に分類される。また、「病名」という属性は、プライバシー情報であるため、「重要情報（Ｓｅｎｓｉｔｉｖｅ Ｉｎｆｏｒｍａｔｉｏｎ）」に分類される。さらに、「年齢」、「性別」、「出身地」、「人種」という属性は、直接的に個人を特定できる情報ではないため、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」に分類され、利用者の利用目的に応じて、重み付けが行われる。

＜ボトムアップ処理＞
図５を用いて、ボトムアップ処理について説明する。なお、トップダウン処理は、ボトムアップ処理と逆の処理となるため、詳細な説明は省略する。

図５を用いて具体的に説明すると、オリジナルデータセット（Ａ０、Ｂ０、Ｃ０）に対して、（Ａ１、Ｂ０、Ｃ０）、（Ａ０、Ｂ１、Ｃ０）、（Ａ０、Ｂ０、Ｃ１）の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。図５の例では、これを（Ａ１、Ｂ０、Ｃ０）とする。（Ａ１、Ｂ０、Ｃ０）には、同様に、（Ａ２、Ｂ０、Ｃ０）、（Ａ１、Ｂ１、Ｃ０）、（Ａ１、Ｂ０、Ｃ１）の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。図５の例では、これを（Ａ２、Ｂ０、Ｃ０）とする。（Ａ２、Ｂ０、Ｃ０）には、同様に、（Ａ２、Ｂ１、Ｃ０）、（Ａ２、Ｂ０、Ｃ１）の分岐があり、それぞれに対して、加工処理による評価ポイントの減少分を算出する。そして、加工処理による評価ポイントの減少分が最少となるものを選択する。このような処理を最適ｋ−匿名性に至るデータ、例えば、（Ａ２、Ｂ１、Ｃ０）まで実行する。

＜データ変換処理部の構成＞
図６を用いて、本発明の実施形態に係るデータ変換処理部の構成について説明する。

本発明の実施形態に係るデータ変換処理部は、図６に示すように、演算部３１と、記号置換部３２と、計数部３３と、管理部３４と、出現頻度調整部３５とから構成されている。

演算部３１は、例えば、一方向性関数の演算を行い、データを変換する。なお、一方向性関数の演算の対象は、１データごとでもよいし、評価に用いる属性を１単位として変換処理を行うこともできる。また、演算部３１は、暗号化のための演算を行い、データを変換してもよい。

記号置換部３２は、演算部３１が一方向性関数の演算を行う場合に、同一の出力値となるものを同一の記号に置き換える。計数部３３は、記号置換部３２において、同一の記号に置き換えられたものの数をカウントする。

管理部３４は、一方向性関数により得られた出力値、置き換えられた記号および計数部３３がカウントしたカウント値をインデックス情報として管理する。出現頻度調整部３５は、記号置換部３２で置換された記号間で、その出現頻度に大きな差異がある場合に、複数の出力値を統合して、出現頻度の平準化を図る。そして、これらの情報は、格納部４０に格納される。なお、プライバシー情報評価サーバ２００のｋ−匿名性判定部２０は、効率よく評価作業を行うために、格納部４０に格納された過去のデータを参照して、計数部３３のカウント値の差分が少ない属性から評価を行うこともできる。

＜プライバシー情報評価サーバの処理＞
図７を用いて、本発明の実施形態に係るプライバシー情報評価サーバの処理について説明する。

まず、プライバシー情報評価サーバ２００は、ユーザ端末１００から受信したデータを加工して、プライバシー情報の評価を行い（ステップＳ１０１）、ユーザ端末１００から受信したデータからユーザのＩＤ情報を除いた情報を変換処理する（ステップＳ１０２）。

そして、変換処理後のデータを格納し（ステップＳ１０３）、評価の結果とともに、データをサービス提供サーバに送信する（ステップＳ１０４）。

したがって、本実施形態によれば、ユーザからのすべてのデータを保管するプライバシー情報評価サーバにおいて、これらのデータを変換処理した後、格納するため、情報の漏洩を防止することができる。

なお、プライバシー情報評価サーバの処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをプライバシー情報評価サーバに読み込ませ、実行することによって本発明のプライバシー情報評価サーバを実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１０；受信部
２０；ｋ−匿名性判定部
２１；分類部
２２；設定部
２３；算出部
２４；加工方法選択部
２５；加工部
３０；データ変換処理部
３１；演算部
３２；記号置換部
３３；計数部
３４；管理部
３５；出現頻度調整部
４０；格納部
５０；判定データ選択部
６０；データ復元部
７０；送信部
１００；ユーザ端末
２００；プライバシー情報評価サーバ
３００；サービス提供者サーバ

Claims (16)

1. ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバであって、
   前記ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行う評価手段と、
   前記ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理するデータ変換処理手段と、
   該変換処理後のデータを格納する格納手段と、
   を備えたことを特徴とするプライバシー情報評価サーバ。
2. 前記データ変換処理手段が、一方向性関数を用いて、データを変換することを特徴とする請求項１に記載のプライバシー情報評価サーバ。
3. 復号鍵を格納する復号鍵格納手段を備え、
   前記データ変換処理手段が、暗号化処理を用いて、データを変換することを特徴とする請求項１に記載のプライバシー情報評価サーバ。
4. 前記データ変換処理手段が、前記評価手段に用いる各属性を１単位として、変換処理を行うことを特徴とする請求項２に記載のプライバシー情報評価サーバ。
5. 前記データ変換処理手段は、前記一方向性関数により生成された同一の出力値となるものを同一の記号に置き換えることを特徴とする請求項２に記載のプライバシー情報評価サーバ。
6. 前記一方向性関数により生成された同一の出力値となるものの数をカウントする計数手段と、
   前記一方向性関数により得られた出力値、置き換えられた前記記号および前記計数手段がカウントしたカウント値をインデックス情報として管理する管理手段を備えたことを特徴とする請求項５に記載のプライバシー情報評価サーバ。
7. 前記記号間で、その出現頻度に大きな差異がある場合に、複数の前記出力値を統合して、前記出現頻度の平準化を図る出現頻度調整手段を備えたことを特徴とする請求項６に記載のプライバシー情報評価サーバ。
8. 前記評価手段が、前記格納手段に格納された過去のデータを参照して、前記計数手段のカウント値の差分が少ない属性から評価を行うことを特徴とする請求項６に記載のプライバシー情報評価サーバ。
9. ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバにおけるデータ管理方法であって、
   前記ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行う第１のステップと、
   前記ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理する第２のステップと、
   該変換処理後のデータを格納する第３のステップと、
   前記評価の結果とともに、データを前記サービス提供サーバに送信する第４のステップと、
   を備えたことを特徴とするデータ管理方法。
10. 前記第２のステップにおいて、一方向性関数を用いて、データを変換することを特徴とする請求項９に記載のデータ管理方法。
11. 前記第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものを同一の記号に置き換えることを特徴とする請求項１０に記載のデータ管理方法。
12. 前記第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものの数をカウントするステップと、
    前記一方向性関数により得られた出力値、置き換えられた前記記号および前記カウントしたカウント値をインデックス情報として管理するステップとをさらに備えたことを特徴とする請求項１１に記載のデータ管理方法。
13. ユーザ端末からのデータを受信し、ユーザのプライバシー情報を評価して、その評価結果とともに、サービス提供サーバにデータを送信するプライバシー情報評価サーバにおけるデータ管理方法をコンピュータに実行させるためのプログラムであって、
    前記ユーザ端末から受信したデータを加工して、プライバシー情報の評価を行う第１のステップと、
    前記ユーザ端末から受信したデータからユーザのＩＤ情報を除いた情報を変換処理する第２のステップと、
    該変換処理後のデータを格納する第３のステップと、
    前記評価の結果とともに、データを前記サービス提供サーバに送信する第４のステップと、
    をコンピュータに実行させるためのプログラム。
14. 前記第２のステップにおいて、一方向性関数を用いて、データを変換することを特徴とする請求項１３に記載のプログラム。
15. 前記第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものを同一の記号に置き換えることを特徴とする請求項１４に記載のプログラム。
16. 前記第２のステップにおいて、前記一方向性関数により生成された同一の出力値となるものの数をカウントするステップと、
    前記一方向性関数により得られた出力値、置き換えられた前記記号および前記カウントしたカウント値をインデックス情報として管理するステップとをさらに備えたことを特徴とする請求項１５に記載のプログラム。
    

Images