JP2015138277A - 情報処理装置及びデータ処理方法 - Google Patents

Abstract

【課題】 有用性の低下を防止する匿名化を実現できる。
【解決手段】 本発明の情報処理装置は、個人が識別できない程度を示す匿名性と、匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出する仮定匿名性算出手段と、仮定匿名性に基づいて匿名化対象データを匿名化する匿名化手段とを含む。
【選択図】 図１

Description

本発明は、情報の処理に関し、特に、情報を保護する情報処理装置及びデータ処理方法に関する。

近年、情報処理装置及び情報処理装置を接続するネットワークの性能向上に伴い、多くの情報が、情報処理装置に保存されている。そして、情報処理装置に保存されている多量のデータを利用する分析又はサービスが、各種提案されている。

しかし、保存されている情報は、パーソナル情報を含む。ここで、パーソナル情報とは、例えば、カルテ（Karte(独語)、診療録）情報のような個人の特徴を表す情報、又は、位置情報のような個人の行動を表す情報である。そして、パーソナル情報は、一般的に、複数の情報（属性値）を含む。ただし、パーソナル情報は、個人を特定できるように公開されると、プライバシー侵害の要因となる。そこで、プライバシーを侵害しないパーソナル情報の公開方法が、望まれている。

匿名化技術は、パーソナル情報を含む情報を公開した場合でも、プライバシーが侵害されないように、パーソナル情報を処理する技術の一つである。つまり、匿名化技術は、第三者が個人のプライバシーを侵害しないでパーソナル情報を活用できるように、パーソナル情報を保護する技術である。

パーソナル情報は、個人を識別できる識別子と、個人にとって知られたくない情報（センシティブ属性）とを含む。そこで、匿名化として、例えば、公開前に、パーソナル情報から個人の識別子を削除して公開する方法が、想定される。

しかし、パーソナル情報は、単独では個人を識別できなくても、組合せを基に個人を識別できる情報（以下、この属性を「準識別子」と言う）を含む場合がある。

そこで、本発明に関連する匿名化技術は、準識別子のデータを加工（匿名化）し、パーソナル情報の集合から、個人に関連するパーソナル情報を推定（識別）できないようにデータを匿名化する（例えば、特許文献１を参照）。つまり、本発明に関連する匿名化技術は、プライバシーを保護するための所定の匿名性を満たすように、準識別子のデータを加工（匿名化）する。

ここで、匿名性は、個人の属性に関連する情報を推定できない程度を示す。

例えば、「ｋ−匿名性」及び「ｌ−多様性」は、匿名化のために適用される匿名性として、よく知られている（例えば、特許文献１を参照）。

ｋ−匿名性は、同じ準識別子を持つパーソナル情報が「ｋ個」以上存在することを保証する。ｋ−匿名性が保証されたパーソナル情報の集合は、同じ準識別子を持つパーソナル情報を、少なくとも「ｋ個」含む。そのため、第三者は、集合の中から個人に関連するパーソナル情報を、特定できない。

ｌ−多様性は、同じ準識別子を持つパーソナル情報のセンシティブ属性の値の種類が「ｌ通り」以上存在することを保証する。ｌ−多様性が保証されたパーソナル情報の集合は、センシティブ属性の値を少なくとも「ｌ通り」含む。そのため、第三者は、集合の中から個人のセンシティブ属性の値を、特定できない。

また、その他の匿名性として、「ｔ−近似性」及び「ｍ−不変性」が、知られている。

ｔ−近接性は、グループ間のセンシティブ属性の値の分布における距離と、全属性の値の分布における距離とが、「ｔ」以下であることを保証する。

ｍ−不変性は、データの逐次開示において、同じ準識別子の組合せのレコードが「ｍ個」以上あり、全てのレコードで異なるセンシティブ属性の値を持つことを保証する。

なお、匿名化の対象となる準識別子は、１つである必要なく、複数でも良い。例えば、ｋ−匿名性は、複数の準識別子の組合せを匿名化した匿名性でも良い。そのため、以下の説明では、特に区別して記載していない限り、準識別子は、単数及び複数を含むとする。

特開２０１１−１７０６３２号公報

準識別子となる属性は、それぞれ異なる性質を備えている。例えば、個人の特定の難易の程度は、属性毎に異なる。あるいは、取得の難易の程度も、属性毎に異なる。

そのため、準識別子には、厳密に匿名化した方が良い準識別子と、緩慢に匿名化すればよい準識別子とが含まれる。

ここで、厳密な匿名化とは、パーソナル情報の抽象度を高くする匿名化である。一方、緩慢な匿名化とは、抽象度が低い匿名化である。

また、現在、大量のデータの処理（例えば、「ビッグデータ」）が、注目されている。大量のデータに含まれるデータの数及びデータ項目は多い。そのため、大量のデータは、多くの属性を含む。つまり、大量のデータは、準識別子となる可能性がある多くの種類の属性に関するデータを含む。

匿名化後のデータの抽象化の程度は、匿名化対象のグループに含まれるデータの数に、概ね比例する。また、匿名化後のデータの抽象化の程度は、抽象化対象の準識別子の数にも概ね比例する。そして、データの抽象度は、データの有用性に、概ね反比例する。つまり、大量にデータの含まれる多くの準識別子となる属性のデータを、同様に匿名化すると、匿名化後のデータの有用性が損なわれる可能性が大きい。

そのため、全ての準識別子を同様に扱った匿名化ではなく、準識別子毎に匿名化の程度を設定できる匿名化、又は、準識別子に適用する匿名化を判断した匿名化が望まれている。つまり、厳密に匿名化する準識別子と緩慢に匿名化する準識別子とを区別した匿名化が望まれている。

しかし、特許文献１に記載の匿名化技術は、準識別子を区別した匿名化を実現できない。そのため、特許文献１に記載の匿名化技術は、匿名化後のデータの有用性が低下するという問題点があった。

本発明の目的は、上記問題点を解決し、有用性の低下を防止する匿名化を実現できる情報処理装置、及び、データ処理方法を提供することにある。

本発明の一形態のおける情報処理装置は、個人が識別できない程度を示す匿名性と、前記匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出する仮定匿名性算出手段と、前記仮定匿名性に基づいて前記匿名化対象データを匿名化する匿名化手段とを含む。

本発明の一形態のおけるデータ処理方法は、個人が識別できない程度を示す匿名性と、前記匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出し、前記仮定匿名性に基づいて前記匿名化対象データを匿名化する。

本発明の一形態のおけるプログラムは、個人が識別できない程度を示す匿名性と、前記匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出する処理と、前記仮定匿名性に基づいて前記匿名化対象データを匿名化する処理とをコンピュータに実行させる。

本発明に基づけば、項目が多いデータでも、有用性の低下を防止する匿名化を実現できるとの効果を提供できる。

図１は、本発明における第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。 図２は、第１の実施形態に係る情報処理装置の動作を説明に用いるデータを示す図である。 図３は、一般的な匿名化技術を用いた匿名化後データを示す図である。 図４は、第１の実施形態に係る情報処理装置の匿名化の一例を示す図である。 図５は、第１の実施形態に係る端末装置の構成の一例を示すブロック図である。 図６は、第２の実施形態に係る情報処理装置の構成の一例を示すブロック図である。 図７は、第３の実施形態に係る仮定匿名性算出部の動作を説明するための図である。

次に、本発明の実施形態について図面を参照して説明する。

なお、各図面は、本発明の実施形態を説明するものである。そのため、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。

また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。

また、本発明に適用する匿名性は、特に制限はない。ただし、以下の説明では、広く用いられている「ｋ−匿名性」を用いて説明する。

＜第１の実施形態＞
図１は、本発明のおける第１の実施形態に係る情報処理装置１０の構成の一例を示すブロック図である。

情報処理装置１０は、取得部１００と、仮定匿名性算出部２００と、匿名化部３００と、出力部４００とを含む。

取得部１００は、匿名化の対象のデータと、匿名化に必要な情報とを取得する。

ここで、匿名化に必要な情報とは、少なくとも次の情報を含む。

（１）匿名性：匿名化対象のデータの匿名性。言い換えると、この匿名性は、匿名化対象のデータにおいて、個人が識別できない程度を示す匿名性である。例えば、データ全体における匿名化の種類（例えば、ｋ−匿名化）と匿名化の程度（ｋ−匿名化のｋの値）。

（２）匿名化対象の属性に関する情報：例えば、属性名。なお、匿名化対象となる属性は、準識別子である。

（３）各準識別子の準識別レベル：準識別子に必要とされる匿名性の高さのレベルの程度である。より具体的には、準識別レベルは、匿名化対象データの含まれる準識別子に基づいて個人が識別される程度を示す。つまり、準識別レベルは、その準識別子が、厳密な匿名性を必要とされている、又は、緩慢な匿名性で良いかなど、必要な匿名性の高さを示す情報である。そのため、準識別レベルは、「準識別子らしさ」と言っても良い。

なお、準識別子となる属性は、例えば、年齢、住所、電話番号、職業及び性別である。

仮定匿名性算出部２００は、匿名化に必要な情報を基に、匿名化部３００で実現する各準識別子のデータに対する匿名性（以下、「仮定匿名性」と言う。なお、「みなし匿名性」と言っても良い）を算出する。

匿名化部３００は、仮定匿名性を満足するように匿名化対象データにおける準識別子のデータを匿名化する。例えば、匿名化部３００は、データを匿名化するために、属性を基にデータをグループに分割する。その場合、匿名化部３００は、各準識別子の仮定匿名性を用いて、匿名化対象データをグループに分割する。そして、匿名化部３００は、分割したグループを基にデータを匿名化する。そして、匿名化部３００は、匿名化後のデータを、出力部４００に送る。

出力部４００は、匿名化後データを所定の出力先（例えば、匿名化を依頼した依頼元、又は、所定の記憶装置）に出力する。

つまり、仮定匿名性算出部２００は、各識別子の仮定匿名性を算出する。そして、匿名化部３００は、仮定匿名性算出部２００によって算出された準識別子の仮定匿名性を基に、データを匿名化する。

この動作を、より詳細に説明する。

まず、説明のために次のパラメータを仮定する。

ｋ：匿名性（取得部１００が取得した匿名化対象データ全体に要求されたｋ−匿名性のｋの値）
ｎ：匿名化対象データの含まれる準識別子の数
ｐ_ｉ：ｉ番目の準識別子ａ_ｉ（ｉ＝１、２、３、…、ｎ）の準識別レベル（準識別子らしさ）に対応した値（ただし、ｐ_ｉは、０から１の間の数値である。）
なお、準識別子の属性名と準識別レベルとの対応関係は、図示しない記憶部に記憶されているとする。つまり、情報処理装置１０は、適宜、記憶部に記憶されている対応関係を基に、各準識別子に対応する準識別レベルを選択して使用する。

そして、仮定匿名性算出部２００は、準識別子ａ_ｉの仮定匿名性として、例えば、「ｋ×ｐ_ｉ」の値を用いる。そのため、匿名化部３００は、準識別子ａ_ｉにおけるデータのグループ分割に、「ｋ×ｐ_ｉ」の値を用いる。

ここで、各準識別子は、独立して匿名化される。例えば、各準識別子は、異なるグループに分割される。そのため、情報処理装置１０が匿名化する対象データ全体としての仮定匿名性「ｋ_ｍ」は、例えば、次の数式１となる。

［数式１］

ここで、数式１の各変数は、次のとおりである。

ｋ_ｍ：情報処理装置１０が匿名化する対象データ全体としての仮定匿名性
ｋ：匿名性（取得部１００が取得したデータ全体に要求された匿名性）
ｎ：準識別子の数
ｐ_ｉ：準識別子ａ_ｉの準識別レベル（ただし、ｐ_ｉは、０から１の間の数値である。）
なお、Πは、ｐ_ｉの積を表す。

具体的な数値データを用いて、さらに説明する。

説明に用いる各パラメータの値は、次の値を仮定する。

準識別子：｛ａ_１、ａ_２｝、つまり、ｎ＝２
各準識別子の準識別レベル：｛ｐ_１、ｐ_２｝＝｛１．０、０．７５｝
ｋ：４（つまり、データ全体の匿名性は、４−匿名性である。）
この場合、情報処理装置１０は、準識別子１（ａ_１）を、４−匿名性（４＝４×１．０）を満足するように分割する。つまり、情報処理装置１０は、準識別子１（ａ_１）を基に、４−匿名性（４＝４×１．０）を満たすようにデータを第１のグループに分割する。次に、情報処理装置１０は、識別子２（ａ_２）を基に、３−匿名性（３＝４×０．７５）を満足するように、第１のグループのデータを第２のグループに分割する。このように、情報処理装置１０は、少なくとも３つのデータを含む第２のグループにデータを分割する。そして、情報処理装置１０は、少なくとも３つのデータを含むグループを基に、データを匿名化する。

ここで、数式１に上記の値を代入すると、ｋ_ｍは、次の数式２に示すように算出される。

［数式２］

数式２の値は、上記で説明したグループに含まれるデータの数（データ数＝３）と一致している。

なお、情報処理装置１０は、同じ準識別子で複数回分割する場合、同じ仮定匿名性を用いる。そのため、同じ準識別子の分割が複数回発生しても、数式１において、各ｐ_ｉを掛ける回数は、１回となる。つまり、数式１は、同じである。

次に、図面を参照して、本実施形態の情報処理装置１０の動作について、さらに説明する。

図２は、動作の説明に用いるデータの分布を示すである。

図２において、準識別子となる属性は、２つ（属性Ａと属性Ｂ）である。また、横軸が、属性Ａであり、縦軸が、属性Ｂである。

そして、図２の各黒丸が、データの位置を示す。

例えば、図２の点１は、属性値Ａの値「Ｖ_ａ１」と属性値Ｂの値「Ｖ_ｂ１」とを備えたデータの位置を示す。

次に、本実施形態の理解を容易にするため、本発明に関連する一般的な匿名化技術を適用した場合の匿名化後のデータの分割について説明する。

図３は、一般的な匿名化技術で、４−匿名性を満足するように匿名化した結果の一例を示す図である。図３に示すように、分割後のグループは、４−匿名性を満たすように、データを４個含む。

次に、本実施形態の情報処理装置１０の匿名化について説明する。

なお、以下の説明において、属性Ａの準識別レベルは「１．０」、属性Ｂの準識別レベルは「０．７５」と仮定する。データ全体の匿名性は、図３と同様に、４−匿名性とする。

図４は、本実施形態の情報処理装置１０の匿名化の一例を示す図である。

情報処理装置１０は、まず属性Ａを基にデータをグループに分ける（クラスタリングする）。ここで、属性Ａの準識別レベルは、１．０である。そのため、情報処理装置１０は、４−匿名性（４＝４×１．０）を満たすように、データを第１のグループに分ける。図４に示す第１段階は、この段階のデータのグループの一例を示す。

次に、情報処理装置１０は、属性Ｂを基にデータを第２のグループに分ける。ここで、属性Ｂの準識別レベルは、０．７５である。そのため、情報処理装置１０は、３−匿名性（３＝４×０．７５）を満たすようにデータをグループに分ける。図４の第２段階は、この段階のデータのグループの一例を示す。なお、第２段階は、最終的なグループとなっている。

図４の第２段階のグループに含まれるデータの数（つまり、準識別子の数）は、３個である。この値「３」は、図３のグループに含まれるデータの数「４」より少ない。既に説明したとおり、グループに含まれる匿名化対象のデータ数が少ないほど、データの有用性が損なわれにくい。つまり、情報処理装置１０は、一般的な匿名化処理よりデータの有用性を高めた匿名化を実現する。

つまり、本実施形態の情報処理装置１０は、準識別子毎に必要とされる匿名性の程度（準識別レベル）を設定できる。そして、情報処理装置１０は、その準識別レベルを用いて、一般的な情報処理装置の匿名化に比べ、データの有用性を高めた匿名化を実現できる。

なお、準識別レベルの値が高い準識別子ほど、１グループ当たりに必要となるデータ数が多くなるため、グループ分けが難しい。そのため、情報処理装置１０は、準識別レベルの値が高い準識別子から、順にグループ分け（クラスタリング）を進めることが望ましい。図４を用いて説明したクラスタリングは、準識別レベルが高い属性Ａからのクラスタリングの一例となっている。

次に、本実施形態の効果について、説明する。

このように、本実施形態の情報処理装置１０は、有用性の低下を防止する匿名化を実現できるとの効果を得ることができる。

その理由は、次のとおりである。

仮定匿名性算出部２００は、匿名化に必要な情報と、準識別子の準識別レベルとを基に、準識別子の仮定匿名性を算出する。そして、匿名化部３００が、仮定匿名性を基に、準識別子を匿名化する。そのため、情報処理装置１０は、厳密に匿名化した方が良い準識別子を厳密に匿名化し、緩慢に匿名化しても良い準識別子を緩慢に匿名化できるためである。つまり、本実施形態の情報処理装置１０は、準識別子毎に、適用する匿名化の程度（準識別レベル）を設定して匿名化できるためである。

（変形例１）
以上説明した情報処理装置１０は、次のように構成される。

例えば、情報処理装置１０の各構成部は、ハードウェア回路で構成されても良い。

また、情報処理装置１０は、各構成部をネットワーク又はバスを介して接続した複数の情報処理装置として構成されても良い。

また、情報処理装置１０は、複数の構成部を１つのハードウェアで構成しても良い。

また、情報処理装置１０は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）とを含むコンピュータ装置として実現しても良い。情報処理装置１０は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Input / Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現しても良い。

図５は、変形例１に係る情報処理装置６０の構成の一例を示すブロック図である。

情報処理装置６０は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータを構成している。

ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御し、図１に示す、情報処理装置１０としての各機能を実現する。ここで、各機能とは、取得部１００と、仮定匿名性算出部２００と、匿名化部３００と、出力部４００との機能である。ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０又は内部記憶装置６４０を、プログラムの一時記憶として使用しても良い。

また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでも良い。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取っても良い。さらに、ＣＰＵ６１０は、読み込んだプログラム又は受け取ったプログラムをＲＡＭ６３０に保存し、保存したプログラムを基に動作しても良い。

ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programable-ROM）又はフラッシュＲＯＭである。

ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。

内部記憶装置６４０は、情報処理装置６０が長期的に保存するデータ及びプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作しても良い。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。

ここで、ＲＯＭ６２０と内部記憶装置６４０は、不揮発性の記憶媒体である。一方、ＲＡＭ６３０は、揮発性の記憶媒体である。そして、ＣＰＵ６１０は、ＲＯＭ６２０、内部記憶装置６４０、又は、ＲＡＭ６３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ６１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。

ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Universal Serial Bus）カードである。

入力機器６６０は、情報処理装置６０の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。

表示機器６７０は、情報処理装置６０の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。

ＮＩＣ６８０は、ネットワークを介した図示しない外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮ（Local Area Network）カードである。

このように構成された情報処理装置６０は、情報処理装置１０と同様の効果を得ることができる。

その理由は、情報処理装置６０のＣＰＵ６１０が、プログラムに基づいて情報処理装置１０と同様の機能を実現できるためである。

＜第２の実施形態＞
図６は、第２の実施形態の情報処理装置１０の構成の一例を示すブロック図である。

図６に示す情報処理装置１０は、仮定匿名性算出部２００と、匿名化部３００とを含む。

仮定匿名性算出部２００は、匿名化に必要な情報を基に、各準識別子に対する仮定匿名性を算出する。そして、匿名化部３００は、仮定匿名性を用いて、匿名化対象データの準識別子を匿名化する。そのため、図６に示す情報処理装置１０は、準識別子毎に適用する匿名化の程度（識別子可能性）を考慮した匿名化後データを生成できる。

つまり、図６に示す情報処理装置１０は、図１に示す情報処理装置１０と同様の効果を得ることができる。

なお、図６に示す本実施形態の情報処理装置１０の構成は、情報処理装置１０の最小構成である。

＜第３の実施形態＞
次に、本発明の第３の実施形態に係る情報処理装置１０について説明する。

第３の実施形態に係る情報処理装置１０の構成は、第１の実施形態の同様のため、構成の詳細な説明を省略する。そのため、本実施形態の情報処理装置１０は、図５のコンピュータを用いて実現しても良い。

また、本実施形態の情報処理装置１０において、仮定匿名性算出部２００の動作を除き、他の構成の動作は、第１に実施形態と同様である。そのため、他の構成の動作の説明を省略し、本実施形態の仮定匿名性算出部２００の動作を中心に説明する。

本実施形態の仮定匿名性算出部２００は、少なくとも一部の準識別子に複数の準識別レベル（準識別子らしさ）を適用する。

なお、仮定匿名性算出部２００が複数の準識別レベルを適用する準識別子は、取得部１００が取得した匿名化のための情報の中で指示されていても良く、予め仮定匿名性算出部２００に設定されていても良い。

図面を参照して仮定匿名性算出部２００の動作を説明する。

図７は、仮定匿名性算出部２００の動作を説明するための図である。

図７において、属性Ｂの準識別レベルは、図４と同様に０．７５である。そのため、情報処理装置１０は、図４の第２段階と同様に図７に示す第２段階まで、データを分割する。

ただし、属性Ｂは、所定の範囲（図７の属性Ｂ２の範囲）では、準識別レベルの値を低く（図７では、３分の１の０．２５）しても良い。

そこで、仮定匿名性算出部２００は、属性Ｂ２の範囲の仮定匿名性を、１−匿名性（１＝１×０．２５）と算出する。

その結果、情報処理装置１０は、図７の第３段階に示すように、さらにデータをグループに分ける。

このように、本実施形態の情報処理装置１０は、第１の実施形態の効果に加え、より有効性の高い匿名化を実施できるとの効果を得ることができる。

その理由は、次のとおりである。

仮定匿名性算出部２００は、所定の準識別子に複数の準識別レベルを適用して仮定匿名性を算出する。そして、匿名化部３００が、所定に準識別子の匿名化において、複数の仮定匿名性を用いて匿名化するためである。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成及び詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
個人が識別できない程度を示す匿名性と、前記匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出する仮定匿名性算出手段と、
前記仮定匿名性に基づいて前記匿名化対象データを匿名化する匿名化手段と
を含む情報処理装置。

（付記２）
前記仮定匿名性算出手段が、
仮定匿名性を算出し、
前記匿名化手段が、
前記各準識別子の匿名化において、各準識別子の仮定匿名性を用いて匿名化する
付記１に記載の情報処理装置。

（付記３）
前記仮定匿名性算出手段が、
前記匿名性と前記準識別レベルとの積を基に前記仮定匿名性を算出する
付記１又は付記２に記載の情報処理装置。

（付記４）
前記匿名化手段が、
準識別レベルの値が高い準識別子から匿名化処理を進める
付記１ないし付記３のいずれか１項に記載の情報処理装置。

（付記５）
前記仮定匿名性算出手段が、
少なくとも一部の準識別子において、複数の準識別レベルを算出し、
前記匿名化手段が、前記複数の仮定匿名性を基に準識別子を匿名化する
付記１ないし付記４のいずれか１項に記載の情報処理装置。

（付記６）
個人が識別できない程度を示す匿名性と、前記匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出し、
前記仮定匿名性に基づいて前記匿名化対象データを匿名化する
データ処理方法。

（付記７）
個人が識別できない程度を示す匿名性と、前記匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出する処理と、
前記仮定匿名性に基づいて前記匿名化対象データを匿名化する処理と
をコンピュータに実行させるプログラム。

１０ 情報処理装置
６０ 情報処理装置
１００ 取得部
２００ 仮定匿名性算出部
３００ 匿名化部
４００ 出力部
６１０ ＣＰＵ
６２０ ＲＯＭ
６３０ ＲＡＭ
６４０ 内部記憶装置
６５０ ＩＯＣ
６６０ 入力機器
６７０ 表示機器
６８０ ＮＩＣ
７００ 記憶媒体

Claims (7)

1. 個人が識別できない程度を示す匿名性と、前記匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出する仮定匿名性算出手段と、
   前記仮定匿名性に基づいて前記匿名化対象データを匿名化する匿名化手段と
   を含む情報処理装置。
2. 前記仮定匿名性算出手段が、
   仮定匿名性を算出し、
   前記匿名化手段が、
   前記各準識別子の匿名化において、各準識別子の仮定匿名性を用いて匿名化する
   請求項１に記載の情報処理装置。
3. 前記仮定匿名性算出手段が、
   前記匿名性と前記準識別レベルとの積を基に前記仮定匿名性を算出する
   請求項１又は請求項２に記載の情報処理装置。
4. 前記匿名化手段が、
   準識別レベルの値が高い準識別子から匿名化処理を進める
   請求項１ないし請求項３のいずれか１項に記載の情報処理装置。
5. 前記仮定匿名性算出手段が、
   少なくとも一部の準識別子において、複数の準識別レベルを算出し、
   前記匿名化手段が、前記複数の仮定匿名性を基に準識別子を匿名化する
   請求項１ないし請求項４のいずれか１項に記載の情報処理装置。
6. 個人が識別できない程度を示す匿名性と、前記匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出し、
   前記仮定匿名性に基づいて前記匿名化対象データを匿名化する
   データ処理方法。
7. 個人が識別できない程度を示す匿名性と、前記匿名化対象データに含まれる準識別子に基づき個人が識別される程度を示す準識別レベルとに基づいて準識別子の匿名化のための仮定匿名性を算出する処理と、
   前記仮定匿名性に基づいて前記匿名化対象データを匿名化する処理と
   をコンピュータに実行させるプログラム。

Images