JP2014191431A - 匿名化システム、所持装置、匿名化装置、利用者装置、匿名化方法、およびプログラム - Google Patents

Abstract

【課題】個体情報に含まれる属性情報が多くても、情報の精度を損ねない。
【解決手段】所持装置１は、少なくとも１個の個体に関する複数の属性情報を含む個体情報を記憶している。所持装置１は、個体情報を前記属性情報単位で分割して分割情報を生成する。所持装置１は、分割情報を匿名化装置３へ分配する。利用者装置５は、所望の属性情報を匿名化した匿名化情報を匿名化装置３へ要求する。匿名化装置３は、利用者装置５からの要求に応じて分割情報を匿名化して匿名化分割情報を生成する。匿名化装置３は、匿名化分割情報を利用者装置５へ出力する。利用者装置５は、匿名化分割情報を統合して匿名化情報を生成する。
【選択図】図１

Description

この発明は、情報分析の分野においてプライバシー保護の観点から情報と個体との対応関係を秘匿する匿名化技術に関し、特に、情報に含まれる属性情報が多くても匿名化の精度を損ねない匿名化技術に関する。

近年、情報の電子化とインターネットの普及により、多種多様な個体情報を蓄積した大規模なデータベースの構築が行われている。これらの個人や団体等の個体に関する情報を分析等に利用する際に、プライバシー保護の観点から、それらの情報の利用主体に対して情報と個体との対応関係を秘匿するために匿名化処理がしばしば用いられる。

匿名化処理とはより具体的には以下のような情報処理である。M,Nを整数として、M個の個体E_i（i=1,…,M）に関するN個の属性情報v_i,j（j=1,…,N）を所持主体Xが所持しており、この属性情報v_i,jを利用主体Zが利用する場面を考える。所持主体Xは、個体情報V_i=(v_i,1,…,v_i,N)が個体E_iに関する情報であることを秘匿するために、個体情報V_iの少なくとも一部の属性情報v_i,jを加工（変換、置換、削除等）して匿名化情報V’_iを生成する。所持主体Xは個体情報V_iの匿名化情報V’_iを利用主体Zに提供する。なお、匿名化には程度があり、個体E_iと匿名化情報V’_iとの対応関係の秘匿が無条件に保証されるものではない。

匿名化の例として、k-匿名化（非特許文献１）やPk-匿名化（非特許文献２）が知られている。k-匿名化は、個体E_iに関する情報が個体情報V₁,…,V_Mのどれかk個未満に絞り込めないように個体情報V₁,…,V_Mを匿名化する手法であり、データの削除や一般化（例えば、「年齢」を「年代」に変換するなど）を行う。Pk-匿名化は、個体E_iに関する情報が個体情報V₁,…,V_Mのどれであるかを1/k以上の確率で推定できないように個体情報V₁,…,V_Mを匿名化する手法であり、データを確率的に別のデータに変換して個体E_iと個体情報V’_iとの対応関係を撹乱する。

L.Sweeney, "k-anonymity: a model for protecting privacy" International Journal on Uncertainty, Fuzziness and Knowledge-based systems, 10(5), pp.557-570, 2002. 五十嵐，千田，高橋，"数値属性における, k-匿名性を満たすランダム化手法", コンピュータセキュリティシンポジウム2011論文集, 2011(3), pp.450-455, 2011.

匿名化情報は元の個体情報と比べ情報の精度が落ちる場合がある。k-匿名化では、例えば年齢が年代に一般化されれば年齢ごとの分析が行えなくなる。Pk-匿名化では、例えば年齢が確率的に別のデータに変換されれば年齢を用いた分析結果に誤差が生じることになる。特に、k-匿名化やPk-匿名化では、個体情報に含まれる属性情報が増えるほど（すなわちNが大きくなるほど）、匿名化情報からその情報に紐づく個体が一意に特定されやすくなるため、データの加工の度合いを高める必要がある。その結果、情報の精度は低下し、詳細な情報の分析が困難になる。

この発明の目的は、個体情報に含まれる属性情報が多くても、情報の精度をなるべく損ねない匿名化情報を求めることができる匿名化技術を提供することである。

上記の課題を解決するために、この発明の匿名化システムは、少なくとも１個の所持装置と複数の匿名化装置と少なくとも１個の利用者装置とを含む。所持装置は、少なくとも１個の個体に関する複数の属性情報を含む個体情報を記憶する記憶部と、個体情報を属性情報単位で分割して分割情報を生成する分割部と、分割情報を匿名化装置へ分配する分配部とを含む。匿名化装置は、利用者装置からの要求に応じて分割情報を匿名化して匿名化分割情報を生成する匿名化部と、匿名化分割情報を利用者装置へ出力する応答部とを含む。利用者装置は、所望の属性情報を匿名化した匿名化情報を匿名化装置へ要求する要求部と、匿名化分割情報を統合して匿名化情報を生成する統合部とを含む。

この発明の匿名化システムは、複数の匿名化装置に属性情報単位で分割して匿名化処理を行う。すなわち、個体情報全体としての属性情報が多くても、各匿名化装置が実行する匿名化処理では属性情報の数を抑えることができる。これにより、匿名化の強度を低くすることができ情報の精度を高くすることが可能となる。

したがって、この発明によれば、個体情報に含まれる属性情報が多くても、情報の精度をなるべく損ねない匿名化情報を求めることができる。

第一実施形態の匿名化システムの機能構成を例示する図。 所持装置の機能構成を例示する図。 第一実施形態の匿名化装置の機能構成を例示する図。 利用者装置の機能構成を例示する図。 第一実施形態の匿名化システムの処理フローを例示する図。 第二実施形態の匿名化システムの機能構成を例示する図。 第二実施形態の匿名化装置の機能構成を例示する図。 第二実施形態の匿名化システムの処理フローを例示する図。 変形例の匿名化システムの機能構成を例示する図。

以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

［第一実施形態］
この発明の第一実施形態に係る匿名化システムは、個体情報を属性単位に複数に分割し、複数の匿名化装置に分散して匿名化処理を実行する。このような構成とすることで１個の匿名化装置で匿名化処理を実行する従来の匿名化システムよりも情報の精度が高くなることが期待できる。また、各匿名化主体に開示する情報が少なくて済むため、例えば匿名化処理を組織外の主体に委託する場合などにセキュリティを向上することができる。

＜構成＞
図１を参照して、第一実施形態の匿名化システム１０の機能構成例を説明する。匿名化システム１０は所持装置１とN（≧2）個の匿名化装置３₁,…,３_Nと少なくとも１個の利用者装置５を含む。所持装置１と匿名化装置３₁,…,３_Nと利用者装置５はネットワーク９に接続される。ネットワーク９は、所持装置１と匿名化装置３₁,…,３_Nそれぞれと利用者装置５とが相互に通信可能なように構成されていればよく、例えばインターネットやＬＡＮ、ＷＡＮなどで構成することができる。また、所持装置１と匿名化装置３₁,…,３_Nそれぞれと利用者装置５とは必ずしもネットワークを介してオンラインで通信可能である必要はない。例えば、所持装置１が出力する情報をＵＳＢメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体からいずれかの匿名化装置３₁,…,３_Nへオフラインで入力するように構成してもよい。その他の装置間でのデータの入出力も同様であるので、具体的な説明は省略する。

図２を参照して、匿名化システム１０に含まれる所持装置１の構成例を説明する。所持装置１は、記憶部１１と分割部１２と分配部１３と制御部１０１とメモリ１０２を含む。所持装置１は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。所持装置１は制御部１０１の制御のもとで各処理を実行する。所持装置１に入力されたデータや各処理で得られたデータはメモリ１０２に格納され、メモリ１０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。記憶部１１は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

図３を参照して、匿名化システム１０に含まれる匿名化装置３_n（1≦n≦N）の構成例を説明する。匿名化装置３_nは、入力部３１と記憶部３２と匿名化部３３と応答部３５と制御部３０１とメモリ３０２を含む。匿名化装置３_nは、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。匿名化装置３_nは制御部３０１の制御のもとで各処理を実行する。匿名化装置３_nに入力されたデータや各処理で得られたデータはメモリ３０２に格納され、メモリ３０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。記憶部３２は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

図４を参照して、匿名化システム１０に含まれる利用者装置５の構成例を説明する。利用者装置５は、要求部５１と取得部５２と統合部５３と制御部５０１とメモリ５０２を含む。利用者装置５は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。利用者装置５は制御部５０１の制御のもとで各処理を実行する。利用者装置５に入力されたデータや各処理で得られたデータはメモリ５０２に格納され、メモリ５０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。

＜処理＞
図５を参照して、匿名化システム１０の実行する匿名化処理の動作例を、実際に行われる手続きの順に従って説明する。

所持装置１に含まれる記憶部１１には、M（≧1）個の個体E_i（i=1,…,M）に関するL（≧2）個の属性情報v_i,j（i=1,…,M、j=1,…,L）を含む個体情報V_i（i=1,…,M）が予め記憶されている（ステップＳ１１）。

所持装置１に含まれる分割部１２は、記憶部１１に記憶されている個体情報V_i（i=1,…,M）を属性単位で分割してN個の分割情報ν_i,1,…,ν_i,Nを生成する（ステップＳ１２）。生成した分割情報ν_i,1,…,ν_i,Nは分配部１３へ入力される。分割情報ν_i,n（n=1,…,N）に含まれる属性情報v_i,jの数は、各属性情報v_i,jが取り得る値を考慮して適宜設計すればよい。例えば、個体情報V_iに含まれる属性情報v_i,jの数Lと匿名化装置３_nの個数Nが等しい場合であれば、各分割情報ν_i,nには１つの属性情報v_i,jが含まれるようにして、N（=L）個の分割情報ν_i,1,…,ν_i,Nを生成すればよい。また例えば、個体情報V_iに含まれる属性情報v_i,jの数Lが匿名化装置３_nの個数Nの2倍となる場合、すなわちL=2Nであれば、各分割情報ν_i,nには２つの属性情報v_i,jが含まれるようにして、N（=L/2）個の分割情報ν_i,1,…,ν_i,Nを生成すればよい。なお、分割情報ν_i,1,…,ν_i,Nそれぞれが所持する属性情報の数は等しくなくてもよい。このとき各分割情報ν_i,nに含まれる属性情報v_i,jの組み合わせは任意の組み合わせでよいが、匿名性を向上するためには、各属性情報v_i,jの取り得る値の組み合わせ数が全ての分割情報ν_i,1,…,ν_i,Nの間でできるだけ均一となることが望ましい。

所持装置１に含まれる分配部１３は、分割部１２により生成された分割情報ν_i,1,…,ν_i,Nを匿名化装置３₁,…,３_Nへ分配する（ステップＳ１３）。

匿名化装置３_nに含まれる入力部３１へ分割情報ν_i,nが入力されると、匿名化装置３_nは分割情報ν_i,nを記憶部３２へ記憶する（ステップＳ３２）。

利用者装置５に含まれる要求部５１は、匿名化装置３_nへ所望の属性情報V_i,zを匿名化した匿名化情報V’_i,zを要求する（ステップＳ５１）。利用者装置５には予めいずれの匿名化装置３_nがどの属性情報v_i,jを所持しているかが設定されており、所望の属性情報V_i,zに含まれる属性情報v_i,jを所持している匿名化装置３_nへ直接要求を出力するように構成することができる。このとき、所望の属性情報V_i,zに含まれる属性情報v_i,jが複数の匿名化装置３_nに分散して所持されている場合には、その複数の匿名化装置３_nそれぞれに要求を出力すればよい。もしくは、利用者装置５は全ての匿名化装置３_nへ要求を出力し、所望の属性情報V_i,zに含まれる属性情報v_i,jを所持している匿名化装置３_nのみがその要求に応答するように構成してもよい。

匿名化装置３_nに含まれる匿名化部３３は、利用者装置５からの要求に応じて、記憶部３２に記憶されている分割情報ν_i,nを匿名化して匿名化分割情報ν’_i,nを生成する（ステップＳ３３）。生成した匿名化分割情報ν’_i,nは応答部３５へ入力される。匿名化の方法は、匿名化対象となる属性の情報の性質や利用者装置における情報分析の目的等を考慮して、任意の最適な匿名化手法を選択すればよい。匿名化のための具体的なデータ操作の手法に関しては非特許文献１や非特許文献２に詳しい。

匿名化装置３_nに含まれる応答部３５は、匿名化部３３により生成された匿名化分割情報ν’_i,nを利用者装置５へ出力する（ステップＳ３５）。

利用者装置５に含まれる取得部５２へ匿名化分割情報ν’_i,nが入力される（ステップＳ５２）。所望の属性情報V_i,zが複数の匿名化装置３_nによって所持されている場合には、それらの匿名化装置３_nからの匿名化分割情報ν’_i,nを全て取得するまで待機する。取得した匿名化分割情報ν’_i,nは統合部５３へ入力される。

利用者装置５に含まれる統合部５３は、取得部５２が匿名化装置３_nから受信した全ての匿名化分割情報ν’_i,nを統合して匿名化情報V’_i,zを生成する（ステップＳ５３）。所望の属性情報V_i,zに含まれる属性情報v_i,jが１個の匿名化装置３_nのみにより所持されている場合には、取得部５２が取得した１個の匿名化分割情報ν’_i,nをそのまま匿名化情報V’_i,zとして生成すればよい。

［第二実施形態］
第一実施形態の匿名化システムでは、利用者装置が複数回にわたって異なる属性情報を含む匿名化情報を取得した場合、その並び順から属性情報同士の関連を推測し匿名化情報に紐づく個体が特定されるおそれがある。この発明の第二実施形態の匿名化システムは、匿名化装置が匿名化情報を生成するたびに順番の並べ替えを行う。このように構成することで利用者装置が複数回にわたって異なる属性を含む匿名化情報を取得した場合でも、それらの匿名化情報から個体を特定することが困難となる。

＜構成＞
図６を参照して、第二実施形態の匿名化システム１１の機能構成例を説明する。匿名化システム１１は所持装置１とN（≧2）個の匿名化装置４₁,…,４_Nと少なくとも１個の利用者装置５を含む。所持装置１と匿名化装置４₁,…,４_Nと利用者装置５はネットワーク９に接続される。ネットワーク９は、所持装置１と匿名化装置４₁,…,４_Nそれぞれと利用者装置５とが相互に通信可能なように構成されていればよく、例えばインターネットやＬＡＮ、ＷＡＮなどで構成することができる。また、所持装置１と匿名化装置４₁,…,４_Nそれぞれと利用者装置５とは必ずしもネットワークを介してオンラインで通信可能である必要はない。例えば、所持装置１が出力する情報をＵＳＢメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体からいずれかの匿名化装置４₁,…,４_Nへオフラインで入力するように構成してもよい。その他の装置間でのデータの入出力も同様であるので、具体的な説明は省略する。

図７を参照して、匿名化システム１１に含まれる匿名化装置４_n（1≦n≦N）の構成例を説明する。匿名化装置４_nは、第一実施形態の匿名化装置３_nと同様に、入力部３１と記憶部３２と匿名化部３３と応答部３５と制御部３０１とメモリ３０２を含む。匿名化装置４_nは、さらに置換部３４を含む。匿名化装置４_nは、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。匿名化装置４_nは制御部３０１の制御のもとで各処理を実行する。匿名化装置４_nに入力されたデータや各処理で得られたデータはメモリ３０２に格納され、メモリ３０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。記憶部３２は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

すなわち、匿名化システム１１と第一実施形態の匿名化システム１０との相違点は、匿名化装置４_nが置換部３４を含む点である。所持装置１と利用者装置５とネットワーク９の構成は上述の第一実施形態と同様であるので詳細な説明は省略する。

＜処理＞
図８を参照して、匿名化システム１１の実行する匿名化処理の動作例を、実際に行われる手続きの順に従って説明する。なお、ステップＳ３３までの処理は第一実施形態と同様であるので説明は省略する。

匿名化部３３により生成された匿名化分割情報ν’_i,nは置換部３４へ入力される。置換部３４は、匿名化システム１１に含まれるN個の匿名化装置４₁,…,４_N全てで共通の置換π:{1,…,M}→{1,…,M}を決定し、匿名化部３３により生成された匿名化分割情報ν’_i,nの並べ替えを行い、匿名化分割情報ν’_π(i),nを生成する（ステップＳ３４）。生成した匿名化分割情報ν’_π(i),nは応答部３５へ入力される。置換πは利用者装置５からの要求がある度に決定される。つまり、利用者装置５からの要求がある度に生成される匿名化分割情報ν’_π(i),nの並び順は毎回異なるものとなる。

置換πの決定方法は様々な方法で構成することができる。例えば、匿名化装置４_nは利用者装置５からの要求がある度に他の匿名化装置４₁,…,４_Nと連携して置換πを決定するように構成することができる。また例えば、匿名化装置４₁,…,４_Nは予め複数の共通する置換πが与えられており、利用者装置５からの要求がある度に予め定められた順番に従って置換πを選択するように構成してもよい。匿名化装置４₁,…,４_N間で共通の置換πを用いて匿名化分割情報ν’の並べ替えを行うことで、利用者装置５が匿名化分割情報ν’を統合して匿名化情報V’を生成する際に、各個体E_iに関する属性情報v_i,jの組み合わせが崩れることなく順番の並べ替えがされた匿名化情報V’を得ることができる。また、置換πは利用者装置５からの要求の度に異なるものとなるため、利用者装置５が異なる属性情報v_i,jを複数回に分けて取得した場合でも、取得できる匿名化分割情報ν’の並び順は一致しない。そのため、複数の匿名化分割情報ν’を組み合わせて特定の個体E_iを特定することが困難になり、匿名性を向上することができる。

匿名化装置４_nに含まれる応答部３５は、置換部３４により並べ替えされた匿名化分割情報ν’_π(i),nを利用者装置５へ出力する（ステップＳ３５）。

利用者装置５に含まれる取得部５２へ匿名化分割情報ν’_π(i),nが入力される（ステップＳ５２）。所望の属性情報V_i,zが複数の匿名化装置４_nによって所持されている場合には、それらの匿名化装置４_nからの匿名化分割情報ν’_π(i),nを全て受信するまで待機する。取得した匿名化分割情報ν’_π(i),nは統合部５３へ入力される。

利用者装置５に含まれる統合部５３は、取得部５２が匿名化装置４_nから受信した全ての匿名化分割情報ν’_π(i),nを統合して匿名化情報V’_π(i),zを生成する（ステップＳ５３）。所望の属性情報V_i,zに含まれる属性情報v_i,jが１個の匿名化装置４_nのみにより所持されている場合には、取得部５２が取得した１個の匿名化分割情報ν’_π(i),nをそのまま匿名化情報V’_π(i),zとして生成すればよい。

［変形例］
第一実施形態もしくは第二実施形態の変形例である匿名化システムは、所持装置を複数含み、各所持装置が一部の個体に関する個体情報のみを所持する。このように構成することですべての個体に関する個体情報を一元的に所持する装置が存在しなくなるため、匿名化システム全体としてのセキュリティを向上することができる。

＜構成＞
図９を参照して、変形例の匿名化システム１２の機能構成例を説明する。匿名化システム１２はK（≧2）個の所持装置１₁,…,１_KとN（≧2）個の匿名化装置３₁,…,３_Nと少なくとも１個の利用者装置５を含む。匿名化装置３₁,…,３_Nは第二実施形態に係る匿名化装置４₁,…,４_Nであってもよい。所持装置１₁,…,１_Kと匿名化装置３₁,…,３_N（もしくは匿名化装置４₁,…,４_N）と利用者装置５はネットワーク９に接続される。

すなわち、匿名化システム１２と第一実施形態の匿名化システム１０および第二実施形態の匿名化システム１１との相違点は、匿名化装置の数が複数となる点である。また、所持装置１_k（1≦k≦K）と匿名化装置３_n（もしくは匿名化装置４_n）（1≦n≦N）と利用者装置５とネットワーク９の構成は上述の第一実施形態もしくは第二実施形態と同様であるので詳細な説明は省略する。

＜処理＞
以降では第一実施形態の変形例を説明する。第二実施形態の変形例では下記の匿名化装置３_nが匿名化装置４_nとなるのみであるので適宜読み替えられたい。

所持装置１_kに含まれる記憶部１１には、Q_k（≧1）個の個体E_q（q=1,…,Q_k）に関するL（≧2）個の属性情報v_q,j（q=1,…,Q_k、j=1,…,L）を含む個体情報V_q（q=1,…,Q_k）が予め記憶されている（ステップＳ１１）。ここで、Q₁,…,Q_Kは任意の整数であり、Q₁,…,Q_Kの総和はMとなる。すなわち、Σ_k=1 ^KQ_k=Mである。また、各所持装置１₁,…,１_Kが所持する個体情報V_qには重複がないものとする。言い替えると、各所持装置１_kが所持する個体情報V_qは、第一実施形態および第二実施形態の所持装置１が所持するM個の個体情報V_i（i=1,…,M）を個体情報単位にK個に分割したうちの１個である。

個体情報V_qに含まれる個体情報の数は任意に設計すればよい。例えば、全ての個体情報の数Mと所持装置の個数Kが等しい場合、すなわちM=Kであれば、各個体情報V_qには１個の個体情報V_iのみが含まれるようになる。この場合、Q₁=Q₂=…=Q_K=1である。また例えば、全ての個体情報の数Mが所持装置の個数Kの2倍となる場合、すなわち2M=Kであれば、各個体情報V_qには２個の個体情報が含まれるようにすればよい。この場合、Q₁=Q₂=…=Q_K=2である。なお、所持装置１₁,…,１_Kそれぞれが所持する個体情報の数は等しくなくてもよい。

所持装置１_kに含まれる分割部１２は、記憶部１１に記憶されている個体情報V_q（q=1,…,Q_k）を属性単位で分割してN個の分割情報ν_q,1,…,ν_q,Nを生成する（ステップＳ１２）。生成した分割情報ν_q,1,…,ν_q,Nは分配部１３へ入力される。

所持装置１_kに含まれる分配部１３は、分割部１２により生成された分割情報ν_q,1,…,ν_q,Nを匿名化装置３₁,…,３_Nへ分配する（ステップＳ１３）。

匿名化装置３_nに含まれる入力部３１へK個の所持装置１₁,…,１_Kそれぞれで生成されたK個の分割情報ν_q,nが入力される。匿名化装置３_nはK個の分割情報ν_q,nを統合して分割情報ν_i,nとして記憶部３２へ記憶する（ステップＳ３２）。このとき、匿名化装置３₁,…,３_Nの間で個体情報の並び順が等しくなるようにしなければならない。

以降のステップＳ５１からステップＳ５３までの処理は第一実施形態もしくは第二実施形態と同様であるので説明は省略する。

第一実施形態および第二実施形態では、１個の所持装置１が全ての個体E₁,…,E_Mに関する個体情報V₁,…,V_Mを記憶していた。変形例では、K個の所持装置１₁,…,１_Kが相異なる個体E_qに関する個体情報V_qのみを所持するため、全ての個体E₁,…,E_Mに関する個体情報V₁,…,V_Mを一元的に所持する装置が存在しなくなる。したがって、匿名化システム全体としてのセキュリティを向上することができる。

［変形例２］
上述の実施形態および変形例において、所持装置１が各匿名化装置３₁,…,３_N（もしくは匿名化装置４₁,…,４_N）に送信する分割情報ν_i,1,…,ν_i,Nを匿名化して送信するように構成してもよい。すなわち、所持装置１は匿名化部３３を含み、分割部１２が生成する分割情報ν_i,1,…,ν_i,Nをそれぞれ匿名化して匿名化分割情報ν’_i,1,…,ν’_i,Nを生成する。所持装置１に含まれる分配部１３は、その匿名化分割情報ν’_i,1,…,ν’_i,Nを匿名化装置３₁,…,３_N（もしくは匿名化装置４₁,…,４_N）へ分配する。

このような構成としても、k-匿名化やPk-匿名化などの匿名化処理で属性情報の種類の数を抑えることができるため、上述の実施形態や変形例と同様に、匿名化の強度を低くすることができ情報の精度を高くすることが可能となる。

［プログラム、記録媒体］
この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１０，１１，１２ 匿名化システム
１ 所持装置
３，４ 匿名化装置
５ 利用者装置
９ ネットワーク
１１ 記憶部
１２ 分割部
１３ 分配部
３１ 入力部
３２ 記憶部
３３ 匿名化部
３４ 置換部
３５ 応答部
５１ 要求部
５２ 取得部
５３ 統合部

Claims (7)

1. 少なくとも１個の所持装置と複数の匿名化装置と少なくとも１個の利用者装置とを含む匿名化システムであって、
   前記所持装置は、
   少なくとも１個の個体に関する複数の属性情報を含む個体情報を記憶する記憶部と、
   前記個体情報を前記属性情報単位で分割して分割情報を生成する分割部と、
   前記分割情報を前記匿名化装置へ分配する分配部と、
   を含み、
   前記匿名化装置は、
   前記利用者装置からの要求に応じて前記分割情報を匿名化して匿名化分割情報を生成する匿名化部と、
   前記匿名化分割情報を前記利用者装置へ出力する応答部と、
   を含み、
   前記利用者装置は、
   所望の前記属性情報を匿名化した匿名化情報を前記匿名化装置へ要求する要求部と、
   前記匿名化分割情報を統合して前記匿名化情報を生成する統合部と、
   を含む匿名化システム。
2. 請求項１に記載の匿名化システムであって、
   前記匿名化装置は、
   前記利用者装置からの要求がある度に全ての前記匿名化装置で共通の置換を決定し前記匿名化分割情報の並べ替えを行う置換部を含む
   ことを特徴とする匿名化システム。
3. 少なくとも１個の個体に関する複数の属性情報を含む個体情報を記憶する記憶部と、
   前記個体情報を前記属性情報単位で分割して分割情報を生成する分割部と、
   前記分割情報を複数の匿名化装置へ分配する分配部と、
   を含む所持装置。
4. 利用者装置からの要求に応じて、少なくとも１個の個体に関する複数の属性情報を含む個体情報を前記属性情報単位で分割した分割情報を匿名化して匿名化分割情報を生成する匿名化部と、
   前記匿名化分割情報を前記利用者装置へ出力する応答部と、
   を含む匿名化装置。
5. 所望の属性情報を匿名化した匿名化情報を匿名化装置へ要求する要求部と、
   少なくとも１個の個体に関する複数の属性情報を含む個体情報を前記属性情報単位で分割した分割情報を匿名化した匿名化分割情報を統合して前記匿名化情報を生成する統合部と、
   を含む利用者装置。
6. 所持装置が、少なくとも１個の個体に関する複数の属性情報を含む個体情報を前記属性情報単位で分割して分割情報を生成する分割ステップと、
   前記所持装置が、前記分割情報を複数の匿名化装置へ分配する分配ステップと、
   利用者装置が、所望の前記属性情報を匿名化した匿名化情報を前記匿名化装置へ要求する要求ステップと、
   前記匿名化装置が、前記利用者装置からの要求に応じて前記分割情報を匿名化して匿名化分割情報を生成する匿名化ステップと、
   前記匿名化装置が、前記匿名化分割情報を前記利用者装置へ出力する応答ステップと、
   前記利用者装置が、前記匿名化分割情報を統合して前記匿名化情報を生成する統合ステップと、
   を含む匿名化方法。
7. 請求項３に記載の所持装置もしくは請求項４に記載の匿名化装置もしくは請求項５に記載の利用者装置としてコンピュータを機能させるためのプログラム。

Images