JP2014137587A - 匿名化装置、匿名化方法、プログラム - Google Patents

Abstract

【課題】一括してデータに匿名化処理を施すとき、より弱い匿名化で所望する匿名性を満たすことができる匿名化装置を提供する。
【解決手段】匿名化装置２は、匿名化パラメータｋ、元テーブルτから集合Ｒ_Ｌ ^（ｋ）、Ｖ_Ｌ ^（ｋ）を計算し、｜Ｒ_Ｌ ^（ｋ）｜≧ｋならば、⊥（ｒｅｊｅｃｔ）を出力する集合計算部２１と、パラメータρ，ｃを計算するパラメータ計算部２２と、パラメータρ，ｃを用いて、遷移確率行列Ａを計算する行列計算部２３と、テーブルの各属性の値を遷移確率行列を用いて遷移させるテーブル遷移部１４とを含む。
【選択図】図９

Description

本発明はデータベースにおける個別データのプライバシー情報を確率的手法により秘匿する匿名化装置、匿名化方法、プログラムに関する。

近年、購買履歴や行動履歴等のデータを蓄積・分析し、商品のリコメンドやより良い都市開発等に活かしたいといった要望がある。しかし、このような個人に紐づくデータの利活用はプライバシーの問題があるため、第三者への提供や分析のアウトソーシング等が難しい。また、データを収集した者はそのデータについて繊細な取り扱いを要求されるといった問題がある。この問題に対し、データに適切なプライバシー保護措置を行うことでプライバシーの保護と統計分析を両立する匿名化技術が注目されている。匿名化技術では、データがどの程度プライバシーを保護できているかを定量的に表すため、幾つかのプライバシー指標が提案されている。その中でもｋ−匿名性、及びそれらを満たすアルゴリズムは近年最も研究が盛んな匿名化技術の一つである。しかし、ｋ−匿名性及びその派生は確率的手法に適用できないという問題があったため、ｋ−匿名性を確率空間へと拡張させたＰｋ−匿名性と呼ばれるプライバシー保護指標が提案されている。

Ｐｋ−匿名性は、確率的手法のための、データベースにおける個別データのプライバシー情報がどの程度秘匿されているかを測る指標である。Ｐｋ−匿名性を満たす秘匿化技術として、非特許文献１、２、３、４が開示されている。

Rakesh Agrawal, Ramakrishnan Srikant, and Dilys Thomas. "Privacy preserving olap.In Fatma Ozcan", editor, SIGMOD Conference, pp.251-262. ACM, 2005. 五十嵐大、千田浩司、高橋克巳、「ｋ−匿名性の確率的指標への拡張とその適用例」、InCSS, 2009. 五十嵐大、千田浩司、高橋克巳、「数値属性における、ｋ−匿名性を満たすランダム化手法」、InCSS, 2011. 五十嵐大、長谷川聡、納竜也、菊池亮、千田浩司、「数値属性に適用可能な、ランダム化によりｋ−匿名性を保証するプライバシー保護クロス集計」、InCSS, 2012.

本発明では、提供者、処理者、分析者の３人が存在するモデルを考える。提供者は自身の個人に関する情報（以下、パーソナル情報）、を処理者に渡すものである。パーソナル情報として、例えばスマートフォンの位置情報などがある。処理者は複数の提供者のパーソナル情報を収集し、匿名化装置（匿名化方法）を用いて一括して匿名化処理を行い、分析者に提供する者である。分析者は、処理者から匿名化データを授受する者である。

プライバシー情報がどの程度秘匿されているかを表す指標として、前述したＰｋ−匿名性があり、この指標を満たす手法をＰｋ−匿名化と呼び、Ｐｋ−匿名化の具体的処理を匿名化処理と呼ぶこととする。Ｐｋ−匿名化は既に幾つか提案されているが、それらは全て匿名化対象のデータの分布によらず同一の処理を行う必要があった。本発明が適用されるモデルでは匿名化処理を一括で行うため、匿名化処理を行う際は元データ全体が既知である。そのため、匿名化処理をデータに依存させることでより良い匿名化が可能となる。例えば、元データがそもそもある程度の匿名性を持っているならば、匿名性が低いデータに比べ「弱い」匿名化処理を行う、といったことが考えられる。

しかし既存のＰｋ−匿名化はこのような元データの匿名性に依存した匿名化処理ができない。そのため、元データがそもそもある程度の匿名性を持っていた場合でも、元データの匿名性が低い場合と同一の処理を行う必要があり、結果として、得られる匿名化データの有用性が下がってしまうという課題がある。そこで本発明では、一括してデータに匿名化処理を施すとき、より弱い匿名化で所望する匿名性を満たすことができる匿名化装置を提供することを目的とする。

本発明の匿名化装置は、集合計算部と、パラメータ計算部と、行列計算部と、テーブル遷移部とを含む。

テーブルの各行を一個人のデータを表すレコードｒ、テーブルの各列を各属性の値とし、テーブルの属性の集合をＡＳ、レコードｒの集合をＲとし、ある属性ａ∈ＡＳが取り得る値の集合をＶ_ａ、その具体的な値をｖ_ａとし、匿名化される前の元テーブルをτ、匿名化テーブルをτ′とし、演算記号＃_τ（＊）を

と定義し、＃_τ（ｖ）を、テーブルτのうち属性値がｖであるレコードの数とする。

集合計算部は、匿名化パラメータｋ、元テーブルτからｋ個未満の属性値と対応するレコード番号の集合Ｒ_Ｌ ^（ｋ）と、ｋ個未満の属性値の集合Ｖ_Ｌ ^（ｋ）を計算し、｜Ｒ_Ｌ ^（ｋ）｜≧ｋならば、⊥（ｒｅｊｅｃｔ）を出力する。

パラメータ計算部は、匿名化パラメータｋと集合Ｒ_Ｌ ^（ｋ）から、

を満たすようなパラメータρ，ｃ∈［０，１］を計算する。

行列計算部は、パラメータρ，ｃを用いて、遷移確率行列Ａを
＃_τ（ｖ）≧ｋのとき、

＃_τ（ｖ）＜ｋのとき、

として計算する。

テーブル遷移部は、テーブルの各属性の値を遷移確率行列を用いて遷移させる。

遷移とは、テーブルのあるレコードの属性ａの値がｖであったとき、遷移確率行列に基づいて定まる確率でｖ′に値を変更することを示す。

本発明の匿名化装置によれば、一括してデータに匿名化処理を施すとき、より弱い匿名化で所望する匿名性を満たすことができる。

本発明において匿名化の対象となるテーブルの例を示す図。 本発明の匿名化装置の入出力の概要を示す図。 本発明の実施例１の匿名化装置の構成を示すブロック図。 本発明の実施例１の匿名化装置の動作を示すフローチャート。 実施例１の匿名化装置のソート部が処理する元テーブルの例を示す図。 実施例１の匿名化装置のソート部の処理例を示す図。 本発明の変形例１の匿名化装置の構成を示すブロック図。 本発明の変形例１の匿名化装置の動作を示すフローチャート。 本発明の実施例２の匿名化装置の構成を示すブロック図。 本発明の実施例２の匿名化装置の動作を示すフローチャート。 集合Ｒ_Ｌ ^（ｋ）、Ｖ_Ｌ ^（ｋ）を例示する図。 本発明の変形例２の匿名化装置の構成を示すブロック図。 本発明の変形例２の匿名化装置の動作を示すフローチャート。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

＜前提条件＞
図１を参照して本発明の匿名化の対象について説明する。図１は本発明において匿名化の対象となるテーブルの例を示す図である。図１に示すように、本発明において匿名化に用いられるテーブルは、各行が一個人のデータを表し（これをレコードｒと呼ぶ）、各列には各属性（例えば年齢、年収等）の値が入力されているものとする。本発明が満足するＰｋ−匿名性というプライバシー保護指標は、プライバシーの保護度合をｋというパラメータ（以下、匿名化パラメータと呼ぶ）で決めている。そのため、匿名化処理では最初にこの匿名化パラメータｋが与えられるものとする。

図２を参照して本発明の匿名化装置の入出力について説明する。図２は本発明の匿名化装置の入出力の概要を示す図である。図２に示すように、匿名化装置は、匿名化の対象となる元テーブルと、どの程度匿名性を持たせるかを決めるパラメータ（匿名化パラメータｋ）とを入力とする。匿名化装置は匿名化処理を実行し、匿名化テーブルと、匿名化処理に用いたパラメータ（遷移確率行列など）が出力される。

以下、本発明を詳細に記述するために、用語および関数の定義を行う。テーブルの属性の集合をＡＳ、レコードｒの集合をＲとし、ある属性ａ∈ＡＳが取り得る値の集合をＶ_ａ、その具体的な値をｖ_ａとする。匿名化される前の元テーブルをτ、匿名化テーブルをτ′とする。元テーブルのレコードｒ_１、ｒ_２間の距離Ｄを以下のように定義する。δ^をクロネッカーのデルタとしたとき、

と定義し、さらに整数値を要素に持つ集合φに対するソート関数を、

と定義する。

以下、図３、４を参照して、本発明の実施例１に係る匿名化装置１について説明する。図３は本実施例の匿名化装置１の構成を示すブロック図である。図４は本実施例の匿名化装置１の動作を示すフローチャートである。

図３に示すように本実施例の匿名化装置１は、ソート部１１と、維持確率計算部１２と、行列計算部１３と、テーブル遷移部１４とを備える。匿名化装置１は、匿名化パラメータｋと、元テーブルτを入力とする。まず、ソート部１１は、元テーブルτから全てのレコードｒ∈Ｒについて

を計算し、

を計算する（Ｓ１１）。

ソート部１１がおこなうソート、ｎの計算について図５、６を参照して補足説明する。図５は本実施例の匿名化装置１のソート部１１が処理する元データの例を示す図である。図６は本実施例の匿名化装置１のソート部１１の処理例を示す図である。図５に示すように属性を年齢、性別、年収とし、レコードｒ_１、ｒ_２、ｒ_３、ｒ_４からなる元テーブルをソートする場合について考える。この場合図６に示すように、ソート部１１は各レコード間の距離Ｄを計算し、当該距離Ｄをレコードごとに昇順に並べ替えるソートを実行し、並べ替え後の各順位の最大値からｎ＝（ｎ_１，ｎ_２，ｎ_３）を計算する。

次に、維持確率計算部１２は、与えられた匿名化パラメータｋと先ほど求めたｎ_ｉから

および、

を満たすように、各属性の維持確率であるパラメータρ_ａｊを求める（Ｓ１２）。

次に、行列計算部１３は、属性ａの遷移確率行列

を計算する（Ｓ１３）。次に、テーブル遷移部１４は、テーブルの各属性の値を上の遷移確率行列を用いて遷移させる（Ｓ１４）。遷移とは、テーブルのあるレコードの属性ａの値がｖ_ａであったとき、確率

でｖ′_ａに値を変更することを意味する。この操作を全レコードの全属性値に行った結果を、匿名化テーブルτ′とする。

匿名化装置１は、匿名化テーブルτ′、各属性の遷移確率行列｛Ａ_ａ｜ａ∈ＡＳ｝、

を出力する。

本実施例の匿名化装置１によれば、一括してデータに匿名化処理を施すとき、より弱い匿名化で所望する匿名性を満たすことができる。

また、本実施例の匿名化装置１によれば、従来の手法では存在しなかった元データのテーブルの情報ｎ→が公開されるため、維持確率を大きくすることができる。維持確率は「データが遷移せずにそのままの値でいる確率」であり、高ければ高いほど元データに近いものになるため、従来の手法よりもデータの有用性が高い。

［変形例１］
以下、図７、図８を参照して、実施例１の一部を変形した変形例１の匿名化装置１０について説明する。図７は本変形例の匿名化装置１０の構成を示すブロック図である。図８は本変形例の匿名化装置１０の動作を示すフローチャートである。

＜前提条件＞
実施例１と同様に、テーブルの各行を一個人のデータを表すレコードｒ、テーブルの各列を各属性の値とし、テーブルの属性の集合をＡＳ、レコードｒの集合をＲとし、ある属性ａ∈ＡＳが取り得る値の集合をＶ_ａ、その具体的な値をｖ_ａとする。また、Ｖを属性の組み合わせの集合、すなわちΠは直積を表すとしたとき、Ｖ＝Π_ａ∈ＡＳＶ_ａであり、その要素をｖとする。同様に、匿名化テーブルのある属性ａ∈ＡＳがとりうる値の集合をＶ′_ａ、その具体的な値をｖ′_ａとし、Ｖ′を匿名化テーブルの属性の組み合わせの集合とし、匿名化される前の元テーブルをτ、匿名化テーブルをτ′とする。

図７に示すように、本変形例の匿名化装置１０は、距離計算部１１０と、確率計算部１２０と、行列計算部１３０と、テーブル遷移部１４とを備える。実施例１と同様に、本変形例の匿名化装置１０は、匿名化パラメータｋと、元テーブルτを入力とする。まず距離計算部１１０は、元テーブルτのすべてのレコードｒ∈Ｒについて、互いのレコード間距離Ｄを計算し、その中で最も大きいものをＤ^＊とする。ここで、テーブルの空間Ｔのうち、最も大きいレコード間距離がＤ^＊であるようなテーブルの集合をＴ＾とする。また、匿名化テーブルの空間をＴ′とする。また、

を「あるテーブルτ＾のｓ番目のレコードの属性（これをτ＾（ｓ）と書く）」が、「匿名化テーブル τ′のｓ′番目のレコードの属性（これを τ′（ｓ′）と書く）」に変化する確率をあらわすものと定義する。

次に、確率計算部１２０は、与えられた匿名性のパラメータｋとＴ＾、Ｔ′から、

を満たすような

を計算する（Ｓ１２０）。ここで、πは任意のレコード順の置換である。

次に、行列計算部１３０は、

を満たし、かつ

であるような｜Ｖ｜×｜Ｖ′｜行列Ａを計算する（Ｓ１３０）。テーブル遷移部１４は、ステップＳ１３０で求めた行列Ａに従い元テーブルの各属性の値を遷移させる。具体的には、ステップＳ１４は、元テーブルのレコードの属性がｖ∈Ｖであったとき、確率Ａ_ｖ，ｖ′でｖ′に値を変更する処理である。この処理を全レコードの全属性値に行った結果を、匿名化テーブル τ′とする。匿名化装置１０は、匿名化テーブルτ′、遷移確率行列Ａ^{τ＾，τ′}，Ｄ^＊を出力する。

本変形例の匿名化装置１０によれば、実施例１と同様、一括してデータに匿名化処理を施すとき、より弱い匿名化で所望する匿名性を満たすことができる。

また、本変形例においてレコード間距離Ｄをレコード同士のハミング距離として、クロネッカーのδ及びソート関数で計算したｎ→として具体化すれば、実施例１と同様に、従来の手法では存在しなかった元データのテーブルの情報ｎ→が公開されるため、維持確率を大きくすることができる。維持確率は「データが遷移せずにそのままの値でいる確率」であり、高ければ高いほど元データに近いものになるため、従来の手法よりもデータの有用性が高い。

＜前提条件＞
実施例１と同様に、テーブルの属性の集合をＡＳ、レコードの集合をＲとし、ある属性ａ∈ＡＳが取り得る値の集合をＶ_ａ、その具体的な値をｖ_ａとする。匿名化される前の元テーブルをτ、匿名化テーブルをτ′と書く。テーブルはレコードと属性値を結ぶ写像であり、例えばレコード１の属性値がＡであれば、τ（１）＝Ａと表される。ここで、演算記号＃_τ（＊）を

と定義する。すなわち、＃_τ（ｖ）とは、テーブルτのうち属性値がｖであるレコードの数を表す。Ｒ_Ｌ ^（ｋ）、Ｖ_Ｌ ^（ｋ）をテーブルτにおいて＃_τ（τ（ｒ））＜ｋであるレコードｒの集合、および属性τ（ｒ）の集合とする。また、この方式は｜Ｒ_Ｌ ^（ｋ）｜≧ｋである必要がある。Ｒ_Ｌ ^（ｋ）、Ｖ_Ｌ ^（ｋ）について、図１１の具体例を参照して補足説明する。図１１は集合Ｒ_Ｌ ^（ｋ）、Ｖ_Ｌ ^（ｋ）を例示する図である。図１１に示すような属性＝年齢のレコードｒ_１〜ｒ_１０を例に、ｋ＝３の場合を考えると、集合Ｒ_Ｌ ^（ｋ）はｋ（＝３）個未満の属性値と対応するレコード番号の集合である。従ってこの場合、集合Ｒ_Ｌ ^（ｋ）＝{４，５，６}となる。集合Ｖ_Ｌ ^（ｋ）は、ｋ（＝３）個未満の属性値の集合である。従ってこの場合、集合Ｖ_Ｌ ^（ｋ）＝{３０代，４０代}となる。

以下、図９、図１０を参照して実施例２の匿名化装置２について説明する。図９は本実施例の匿名化装置２の構成を示すブロック図である。図１０は本実施例の匿名化装置２の動作を示すフローチャートである。図９に示すように、本実施例の匿名化装置２は、集合計算部２１と、パラメータ計算部２２と、行列計算部２３と、テーブル遷移部１４とを備える。実施例１と同様に、匿名化装置２は、匿名化パラメータｋと、元テーブルτを入力とする。

まず集合計算部２１は、匿名化パラメータｋ、元テーブルτから集合Ｒ_Ｌ ^（ｋ）、Ｖ_Ｌ ^（ｋ）を計算し、｜Ｒ_Ｌ ^（ｋ）｜≧ｋならば、⊥（ｒｅｊｅｃｔ）を出力する（Ｓ２１）。次に、パラメータ計算部２２は、与えられた匿名化パラメータｋとステップＳ２１で求めたＲ_Ｌ ^（ｋ）から、

を満たすようなパラメータρ，ｃ∈［０，１］を計算する（Ｓ２２）。次に、行列計算部２３は、ステップＳ２２で求めたパラメータρ，ｃを用いて、遷移確率行列Ａを
＃_τ（ｖ）≧ｋのとき、

＃_τ（ｖ）＜ｋのとき、

として計算する（Ｓ２３）。次に、テーブル遷移部１４は、遷移確率行列Ａに従って、匿名化テーブル τ′を作成する（Ｓ１４）。本実施例のテーブル遷移部１４の動作は、実施例１のテーブル遷移部１４の動作と同じである。

匿名化装置２は、匿名化テーブル τ′、および遷移確率行列Ａを出力する。

［変形例２］
以下、図１２、図１３を参照して、実施例２の一部を変形した変形例２の匿名化装置２０について説明する。図１２は本変形例の匿名化装置２０の構成を示すブロック図である。図１３は本変形例の匿名化装置２０の動作を示すフローチャートである。なお、本変形例では、実施例２に示された＜前提条件＞を引き続き用いる。

図１２に示すように、本変形例の匿名化装置２０は、集合計算部２１と、関数計算部２２０と、行列計算部２３０と、テーブル遷移部１４とを備える。集合計算部２１と、テーブル遷移部１４の動作は、実施例２と共通しているので説明を割愛する。実施例２と同様に、匿名化装置２０は、匿名化パラメータｋと、元テーブルτを入力とする。

関数計算部２２０は、与えられた匿名化パラメータｋとステップＳ２１で求めたＲ_Ｌ ^（ｋ）から、

を満たすような関数ｆ∈［０，１］，α∈［０，１］，β∈［０，１］を計算する（Ｓ２２０）。次に、行列計算部２３０は、ステップＳ２２０で求めたｆ，α，βを用いて、｜Ｖ｜×｜Ｖ′｜行列Ａを
＃_τ（ｖ）≧ｋのとき、

＃_τ（ｖ）＜ｋのとき、任意の［０，１］に含まれる値、ただし

を満たすように計算する（Ｓ２３０）。

以下、本変形例におけるステップＳ２２０、Ｓ２３０においてα、βをρを用いて、α＝１＋（１−ρ）／｜Ｖ｜，β＝（１−ρ）／｜Ｖ｜として具体化した場合について述べる。この場合、上述したステップＳ２２０において、関数計算部２２０は、与えられた匿名化パラメータｋとステップＳ２１で求めたＲ_Ｌ ^（ｋ）から、

を満たすような関数ｆ∈［０，１］，ρ［０，１］を計算する。次に、ステップＳ２３０において、行列計算部２３０は、ステップＳ２２０で求めたパラメータｆ，ρを用いて、｜Ｖ｜×｜Ｖ′｜行列Ａを
＃_τ（ｖ）≧ｋのとき、

＃_τ（ｖ）＜ｋのとき、

として計算する。

実施例２、および変形例２の匿名化装置２、２０によれば、実施例１と同様に、一括してデータに匿名化処理を施すとき、より弱い匿名化で所望する匿名性を満たすことができる。

また、実施例２、および変形例２の匿名化装置２、２０によれば、従来手法に存在しない集合Ｒ_Ｌ ^（ｋ）、Ｖ_Ｌ ^（ｋ）を用いることにより、集合Ｒ_Ｌ ^（ｋ）、Ｖ_Ｌ ^（ｋ）に依存してデータの処理を変えることができるため、従来手法と同等の匿名性を保ちながら、元データの変更を少なくすることができ、従来の手法よりもデータの有用性が高い。

＜実施例１の匿名化装置１と実施例２の匿名化装置２の比較＞
匿名化装置１の方式は、データ依存型維持置換撹乱方式と呼ぶべき性質を有している。匿名化装置１の方式では、テーブル全体の分布があまり保たれないが、その中の属性間の関係は保たれる。従って匿名化装置１の方式は、分析者が一つの大きな匿名化テーブルを取得し、その中の部分的な属性を使って分析する場合に有効な方式である。

一方、匿名化装置２の方式は、データ依存型クロス値撹乱方式と呼ぶべき性質を有している。匿名化装置２の方式では、テーブル全体の分布は保たれるが、個々の属性間の関係はあまり保たれない。従って匿名化装置２の方式は、分析者が分析の度にテーブルを取得するような場合、例えばオーダーメード匿名化に有効な方式である。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (7)

1. テーブルの各行を一個人のデータを表すレコードｒ、テーブルの各列を各属性の値とし、テーブルの属性の集合をＡＳ、レコードｒの集合をＲとし、ある属性ａ∈ＡＳが取り得る値の集合をＶ_ａ、その具体的な値をｖ_ａとし、匿名化される前の元テーブルをτ、匿名化テーブルをτ′とし、演算記号＃_τ（＊）を
   
   と定義し、＃_τ（ｖ）を、テーブルτにおいて属性ｖであるレコードの数とし、
   匿名化パラメータｋ、元テーブルτからｋ個未満の属性値と対応するレコード番号の集合Ｒ_Ｌ ^（ｋ）と、ｋ個未満の属性値の集合Ｖ_Ｌ ^（ｋ）を計算し、｜Ｒ_Ｌ ^（ｋ）｜≧ｋならば、⊥（ｒｅｊｅｃｔ）を出力する集合計算部と、
   匿名化パラメータｋと集合Ｒ_Ｌ ^（ｋ）から、
   
   を満たすようなパラメータρ，ｃ∈［０，１］を計算するパラメータ計算部と、
   パラメータρ，ｃを用いて、遷移確率行列Ａを
   ＃_τ（ｖ）≧ｋのとき、
   
   ＃_τ（ｖ）＜ｋのとき、
   
   として計算する行列計算部と、
   テーブルの各属性の値を遷移確率行列を用いて遷移させるテーブル遷移部とを含み、
   遷移とは、テーブルのあるレコードの属性ａの値がｖであったとき、遷移確率行列に基づいて定まる確率でｖ′に値を変更することを示す
   匿名化装置。
2. テーブルの各行を一個人のデータを表すレコードｒ、テーブルの各列を各属性の値とし、テーブルの属性の集合をＡＳ、レコードｒの集合をＲとし、ある属性ａ∈ＡＳが取り得る値の集合をＶ_ａ、その具体的な値をｖ_ａとし、匿名化される前の元テーブルをτ、匿名化テーブルをτ′とし、演算記号＃_τ（＊）を
   
   と定義し、＃_τ（ｖ）を、テーブルτにおいて属性ｖであるレコードの数とし、
   匿名化パラメータｋ、元テーブルτからｋ個未満の属性値と対応するレコード番号の集合Ｒ_Ｌ ^（ｋ）と、ｋ個未満の属性値の集合Ｖ_Ｌ ^（ｋ）を計算し、｜Ｒ_Ｌ ^（ｋ）｜≧ｋならば、⊥（ｒｅｊｅｃｔ）を出力する集合計算部と、
   匿名化パラメータｋと集合Ｒ_Ｌ ^（ｋ）から、
   
   を満たすような関数ｆ∈［０，１］，α∈［０，１］，β∈［０，１］を計算する関数計算部と、
   関数ｆ，α，βを用いて、｜Ｖ｜×｜Ｖ′｜行列Ａを
   ＃_τ（ｖ）≧ｋのとき、
   
   ＃_τ（ｖ）＜ｋのとき、任意の［０，１］に含まれる値、ただし
   
   を満たすように計算する行列計算部と、
   テーブルの各属性の値を遷移確率行列を用いて遷移させるテーブル遷移部とを含み、
   遷移とは、テーブルのあるレコードの属性ａの値がｖであったとき、遷移確率行列に基づいて定まる確率でｖ′に値を変更することを示す
   匿名化装置。
3. 請求項１に記載の匿名化装置であって、
   α，βをパラメータρ∈［０，１］を用いて、
   α＝１＋（１−ρ）／｜Ｖ｜，β＝（１−ρ）／｜Ｖ｜とする
   匿名化装置。
4. テーブルの各行を一個人のデータを表すレコードｒ、テーブルの各列を各属性の値とし、テーブルの属性の集合をＡＳ、レコードｒの集合をＲとし、ある属性ａ∈ＡＳが取り得る値の集合をＶ_ａ、その具体的な値をｖ_ａとし、匿名化される前の元テーブルをτ、匿名化テーブルをτ′とし、演算記号＃_τ（＊）を
   
   と定義し、＃_τ（ｖ）を、テーブルτのうち属性値がｖであるレコードの数とし、
   匿名化パラメータｋ、元テーブルτからｋ個未満の属性値と対応するレコード番号の集合Ｒ_Ｌ ^（ｋ）と、ｋ個未満の属性値の集合Ｖ_Ｌ ^（ｋ）を計算し、｜Ｒ_Ｌ ^（ｋ）｜≧ｋならば、⊥（ｒｅｊｅｃｔ）を出力する集合計算ステップと、
   匿名化パラメータｋと集合Ｒ_Ｌ ^（ｋ）から、
   
   を満たすようなパラメータρ，ｃ∈［０，１］を計算するパラメータ計算ステップと、
   パラメータρ，ｃを用いて、遷移確率行列Ａを
   ＃_τ（ｖ）≧ｋのとき、
   
   ＃_τ（ｖ）＜ｋのとき、
   
   として計算する行列計算ステップと、
   テーブルの各属性の値を遷移確率行列を用いて遷移させるテーブル遷移ステップとを含み、
   遷移とは、テーブルのあるレコードの属性ａの値がｖであったとき、遷移確率行列に基づいて定まる確率でｖ′に値を変更することを示す
   匿名化方法。
5. テーブルの各行を一個人のデータを表すレコードｒ、テーブルの各列を各属性の値とし、テーブルの属性の集合をＡＳ、レコードｒの集合をＲとし、ある属性ａ∈ＡＳが取り得る値の集合をＶ_ａ、その具体的な値をｖ_ａとし、匿名化される前の元テーブルをτ、匿名化テーブルをτ′とし、演算記号＃_τ（＊）を
   
   と定義し、＃_τ（ｖ）を、テーブルτのうち属性値がｖであるレコードの数とし、
   匿名化パラメータｋ、元テーブルτからｋ個未満の属性値と対応するレコード番号の集合Ｒ_Ｌ ^（ｋ）と、ｋ個未満の属性値の集合Ｖ_Ｌ ^（ｋ）を計算し、｜Ｒ_Ｌ ^（ｋ）｜≧ｋならば、⊥（ｒｅｊｅｃｔ）を出力する集合計算ステップと、
   匿名化パラメータｋと集合Ｒ_Ｌ ^（ｋ）から、
   
   を満たすような関数ｆ∈［０，１］，α∈［０，１］，β∈［０，１］を計算する関数計算ステップと、
   関数ｆ，α，βを用いて、｜Ｖ｜×｜Ｖ′｜行列Ａを
   ＃_τ（ｖ）≧ｋのとき、
   
   ＃_τ（ｖ）＜ｋのとき、任意の［０，１］に含まれる値、ただし
   
   を満たすように計算する行列計算ステップと、
   テーブルの各属性の値を遷移確率行列を用いて遷移させるテーブル遷移ステップとを含み、
   遷移とは、テーブルのあるレコードの属性ａの値がｖであったとき、遷移確率行列に基づいて定まる確率でｖ′に値を変更することを示す
   匿名化方法。
6. 請求項５に記載の匿名化方法であって、
   α，βをパラメータρ∈［０，１］を用いて、
   α＝１＋（１−ρ）／｜Ｖ｜，β＝（１−ρ）／｜Ｖ｜とする
   匿名化方法。
7. 請求項４から６の何れかに記載された匿名化方法の各ステップをコンピュータに実行させるためのプログラム。