JP2021099668A - 匿名性劣化情報出力防止装置、匿名性劣化情報出力防止方法および匿名性劣化情報出力防止プログラム - Google Patents

Abstract

【課題】複数のデータ提供元企業が保有する匿名加工情報を突合して生成した情報の匿名性が劣化していた場合には出力を防止する匿名性劣化情報出力防止装置を提供する。【解決手段】突合対象とする各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報と加工前情報と加工方針情報とを保存している匿名加工データストア１０，１１，１２から取得した各匿名加工情報を組み合わせる突合を安全に行うために、セキュアなメモリ空間を提供するセキュアメモリ領域部３１０にて動作する処理部として、突合対象とする各データ提供元企業の匿名加工情報を突合し、突合済み匿名加工情報を生成する匿名加工情報突合部３１１と、突合対象とする各データ提供元企業にて適用されている加工前情報を匿名加工するための加工方針情報を勘案して、生成された前記突合済み匿名加工情報の匿名性が担保されているか否かを確認する匿名加工情報検査部３１２と、を有している。【選択図】図１

Description

本発明は、匿名性劣化情報出力防止装置、匿名性劣化情報出力防止方法および匿名性劣化情報出力防止プログラムに関し、特に、情報の匿名化を図る際の匿名加工技術として、複数の匿名加工情報を組み合わせる突合時において匿名性の劣化が生じた情報の出力を防止することを可能にする匿名性劣化情報出力防止装置、匿名性劣化情報出力防止方法および匿名性劣化情報出力防止プログラムに関する。

一般的に、個人情報や企業内で取り扱う情報を企業間で共有し、情報を結合・分析することは、社会的な価値を新たに創出することができるものとして大いに期待されている。

しかしながら、プライバシ保護の観点から、保護対象の個人や企業の同意がない状態では、個人情報や企業情報の第三者への提供は禁止されている場合が多い。また、企業自体においても、競争力の源泉となる情報を競合相手に開示することを嫌う傾向にある。

かくのごとき社会の要請に着目した技術として、情報の自由な流通・利活用を促進することを目的とした匿名加工技術がある。本願でいうところの匿名加工技術は、例えば特許文献１の特開２０１９−９５８８５号公報「匿名化データ評価システムおよび方法、並びに匿名レベル判定サーバ」等に記載されているような匿名化技術を適用するものである。この匿名加工技術は、対象とする情報自体の加工を行い、対象の人物等の属性を知ろうとする閲覧者に対して、センシティブ情報を隠すことにより、匿名性を有する匿名加工情報として提供することを可能にするものである。この匿名加工技術を採用することにより、例えば消費者の購買記録や行動履歴、災害時の動線など、従来の統計情報においては得ることができなかった情報が得られるようになり、情報のより詳細な分析が可能になる。

つまり、このような匿名加工技術を用いることにより、データ提供元企業において、該データ提供元企業などが自ら収集した個人情報や企業情報における無加工の個人情報や企業情報（無加工情報）について統計処理・匿名化を行い、匿名性を有する統計情報・匿名加工情報を得て、これら匿名性を有する統計情報・匿名加工情報を第三者の企業等へ提供することが可能になる。

特開２０１９−０９５８８５号公報

しかしながら、本発明に関連する前記特許文献１等の現状の匿名加工技術に関しては、以下のような解決するべき課題がある。

複数のデータ提供元企業が匿名加工情報を提供する場合、複数のデータ提供元企業それぞれが提供する匿名加工情報を、第三者企業が集めて突合することは、各データ提供元企業が実施した匿名化処理が無意味となって、個人情報や企業情報の元情報が再特定されてしまう危険性があるため、原則禁止とされている。

また、複数のデータ提供元企業それぞれが、提供された情報に関して突合した分析を行う民間企業と委託契約を結び、データ提供元企業自身が保有する個人情報や企業情報を該民間企業へ提供すること、および、該民間企業が、提供された個人情報や企業情報を突合して、統計情報・匿名加工情報として、他の企業へ提供することも原則禁止とされている。

かくのごとき事情から、社会的な価値を新たに創出することができるマーケット情報などの有効な情報を含む複数の匿名加工情報の突合を実施することができず、価値ある情報の流通を阻害する要因となっている。

言い換えると、匿名化技術に関し、組織間におけるデータ結合分析への対応が困難であるため、マーケット情報などの有益な情報を含む複数の匿名加工情報の突合を実施することができず、価値ある情報の流通を阻害する要因となっている。

（本発明の目的）
本発明の目的は、かかる事情に鑑み、複数のデータ提供元企業が保有する匿名加工情報を突合した情報を出力する際に、匿名性が劣化した情報が突合済み匿名加工情報として出力されることを防止し、第三者へ匿名加工前の元の情報を漏洩させること無く、安全に、各データ提供元企業が提供する匿名加工情報を突合させることを可能にする匿名性劣化情報出力防止装置、匿名性劣化情報出力防止方法および匿名性劣化情報出力防止プログラムを提供することにある。

前述の課題を解決するため、本発明による匿名性劣化情報出力防止装置、匿名性劣化情報出力防止方法および匿名性劣化情報出力防止プログラムは、主に、次のような特徴的な構成を採用している。

（１）本発明による匿名加工劣化情報出力防止装置は、
突合対象とする各データ提供元企業それぞれの匿名加工情報と該匿名加工情報の匿名加工前の元情報である加工前情報と前記加工前情報を前記匿名加工情報に匿名加工するための加工方針情報とを保存している匿名加工データストアとの間で通信を行う機能と、各前記データ提供元企業の前記匿名加工データストアそれぞれから取得した前記匿名加工情報を組み合わせる突合時において匿名性が劣化した情報が突合済み匿名加工情報として出力されることを防止する機能と、を有する匿名性劣化情報出力防止装置であって、
ハードウェアレベルにおけるセキュリティ機能を適用して第三者に傍受されることのないセキュアなメモリ空間を提供するセキュアメモリ領域部と、
前記セキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業の匿名加工情報を突合し、突合済み匿名加工情報を生成する匿名加工情報突合部と、
前記セキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業それぞれにおいて適用されている前記加工前情報を匿名加工するための前記加工方針情報を勘案して、生成した前記突合済み匿名加工情報の匿名性が担保されているか否かを確認する匿名加工情報検査部と、
を有していることを特徴とする。

（２）本発明による匿名性劣化情報出力防止方法は、
突合対象とする各データ提供元企業それぞれの匿名加工情報と該匿名加工情報の匿名加工前の元情報である加工前情報と前記加工前情報を前記匿名加工情報に匿名加工するための加工方針情報とを保存している匿名加工データストアとの間で通信を行うステップと、各前記データ提供元企業の前記匿名加工データストアそれぞれから取得した前記匿名加工情報を組み合わせる突合時において匿名性が劣化した情報が突合済み匿名加工情報として出力されることを防止するステップと、を有する匿名性劣化情報出力防止方法であって、
ハードウェアレベルにおけるセキュリティ機能を適用して第三者に傍受されることのないセキュアなメモリ空間を提供するセキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業の匿名加工情報を突合し、突合済み匿名加工情報を生成する匿名加工情報突合ステップと、
前記セキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業それぞれにおいて適用されている前記加工前情報を匿名加工するための前記加工方針情報を勘案して、生成した前記突合済み匿名加工情報の匿名性が担保されているか否かを確認する匿名加工情報検査ステップと、
を有していることを特徴とする。

（３）本発明による匿名性劣化情報出力防止プログラムは、
コンピュータにより実行されるプログラムとして、突合対象とする各データ提供元企業それぞれの匿名加工情報と該匿名加工情報の匿名加工前の元情報である加工前情報と前記加工前情報を前記匿名加工情報に匿名加工するための加工方針情報とを保存している匿名加工データストアとの間で通信を行う工程と、各前記データ提供元企業の前記匿名加工データストアそれぞれから取得した前記匿名加工情報を組み合わせる突合時において匿名性が劣化した情報が突合済み匿名加工情報として出力されることを防止する工程と、を有する匿名性劣化情報出力防止プログラムであって、
ハードウェアレベルにおけるセキュリティ機能を適用して第三者に傍受されることのないセキュアなメモリ空間を提供するセキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業の匿名加工情報を突合し、突合済み匿名加工情報を生成する匿名加工情報突合工程と、
前記セキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業それぞれにおいて適用されている前記加工前情報を匿名加工するための前記加工方針情報を勘案して、生成した前記突合済み匿名加工情報の匿名性が担保されているか否かを確認する匿名加工情報検査工程と、
を有していることを特徴とする。

本発明の匿名性劣化情報出力防止装置、匿名性劣化情報出力防止方法および匿名性劣化情報出力防止プログラムによれば、主に、以下のような効果を奏することができる。

すなわち、複数のデータ提供元企業が保有する匿名加工情報を突合して突合済み匿名加工情報を生成する際に、該突合済み匿名加工情報の匿名性を担保し、かつ、突合対象とする各データ提供元企業の匿名化の加工方針を満たした状態で、安全性が高い情報として生成されたか否かを確認することが可能であるので、匿名性を有することが十分に担保された状態の突合済み匿名加工情報を外部システムに対して提供することが可能である。

本発明に係る匿名性劣化情報出力防止装置の内部構成の一例を示すブロック構成図である。 図１に示すＡ社の匿名加工データストアの加工前情報ＤＢに格納されている加工前情報の登録例を示すテーブルである。 図１に示すＡ社の匿名加工データストアの加工方針情報ＤＢに登録されている加工方針情報の登録例を示すテーブルである。 図１に示すＡ社の匿名加工データストアの匿名加工情報ＤＢに格納されている匿名加工情報の登録例を示すテーブルである。 図１に示すＢ社の匿名加工データストアの加工前情報ＤＢに格納されている加工前情報の登録例を示すテーブルである。 図１に示すＢ社の匿名加工データストアの加工方針情報ＤＢに登録されている加工方針情報の登録例を示すテーブルである。 図１に示すＢ社の匿名加工データストアの匿名加工情報ＤＢに格納されている匿名加工情報の登録例を示すテーブルである。 図１に示すＣ社の匿名加工データストアの加工前情報ＤＢに格納されている加工前情報の登録例を示すテーブルである。 図１に示すＣ社の匿名加工データストアの加工方針情報ＤＢに登録されている加工方針情報の登録例を示すテーブルである。 図１に示すＣ社の匿名加工データストアの匿名加工情報ＤＢに格納されている匿名加工情報の登録例を示すテーブルである。 図１に示すＣ社の匿名加工データストアの加工方針情報ＤＢに登録されている加工方針情報の図９とは異なる登録例を示すテーブルである。 図１に示すＣ社の匿名加工データストアの匿名加工情報ＤＢに格納されている匿名加工情報の図１０とは異なる登録例を示すテーブルである。 図１に本発明の一実施形態として示した匿名性劣化情報出力防止装置の動作の一例を示すフローチャートである。 図４に示したＡ社の匿名加工情報ＤＢから読み込んだ匿名加工情報と図１０に示したＣ社の匿名加工情報ＤＢから読み込んだ匿名加工情報とを突合処理した突合済み匿名加工情報の一例を示すテーブルである。 図４に示したＡ社の匿名加工情報ＤＢから読み込んだ匿名加工情報と図１２に示したＣ社の匿名加工情報ＤＢから読み込んだ匿名加工情報とを突合処理した突合済み匿名加工情報の一例を示すテーブルである。 図４に示したＡ社の匿名加工情報ＤＢから読み込んだ匿名加工情報と図７に示したＢ社の匿名加工情報ＤＢから読み込んだ匿名加工情報とを突合処理した突合済み匿名加工情報の一例を示すテーブルである。

以下、本発明による匿名性劣化情報出力防止装置、匿名性劣化情報出力防止方法および匿名性劣化情報出力防止プログラムの好適な実施形態について添付図を参照して説明する。なお、以下の説明においては、本発明による匿名性劣化情報出力防止装置および匿名性劣化情報出力防止方法について説明するが、かかる匿名性劣化情報出力防止方法をコンピュータにより実行可能な匿名性劣化情報出力防止プログラムとして実施するようにしても良いし、あるいは、匿名性劣化情報出力防止プログラムをコンピュータにより読み取り可能な記録媒体に記録するようにしても良いことは言うまでもない。また、以下の各図面に付した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではないことも言うまでもない。

（本発明の特徴）
本発明の実施形態の説明に先立って、本発明の特徴についてその概要をまず説明する。本発明は、複数のデータ提供元企業それぞれが保有する匿名加工情報を突合する際に匿名加工レベルが劣化する可能性があるので、匿名加工レベルが劣化した状態になった場合には突合済み匿名加工情報（複数の匿名加工情報を突合して生成した匿名加工情報）の外部システムへの流出を未然に防止し、外部システムに対しては、匿名加工レベルが劣化していない安全性が高い状態の突合済み匿名加工情報を確実に提供する仕組みを有していることを主要な特徴としている。

さらに詳しく説明すると、本発明の主要な特徴は次の通りである。

本発明に係る匿名性劣化情報出力防止装置は、複数のデータ提供元企業それぞれが保有する匿名加工データストアに格納されているそれぞれの匿名加工情報を取得して、取得した複数のデータ提供元企業それぞれの匿名加工情報を組み合わせる突合時において匿名性が劣化した情報が突合済み匿名加工情報として出力されることを防止する機能を有する装置であって、
ハードウェアレベルにおけるセキュリティ機能を適用して第三者に傍受されることのないセキュアなメモリ空間を提供するセキュアメモリ領域部と、
前記セキュアメモリ領域部にて動作し、複数のデータ提供元企業の匿名加工情報を突合し、突合済み匿名加工情報を生成する匿名加工情報突合部と、
前記セキュアメモリ領域部にて動作し、複数のデータ提供元企業それぞれにおいて適用されている加工前情報を匿名加工するための加工方針情報を勘案して、生成した前記突合済み匿名加工情報の匿名性が担保されているか否かを確認する匿名加工情報検査部と、
を有している。

ここで、突合済み匿名加工情報の匿名性が担保されているか否かを検査する前記匿名加工情報検査部は、内部に、
突合対象とする各データ提供元企業の前記匿名加工情報を参照して、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業の前記匿名加工情報それぞれの匿名性以上のレベルの匿名性を有しているか否かを確認する匿名性確認部と、
突合対象とする各データ提供元企業それぞれの前記加工方針情報と前記加工前情報とを参照して、前記突合済み匿名加工情報が、突合対象とする各データ提供元企業それぞれの匿名化の加工方針を満たしているか否かを確認する加工方針確認部と、
前記匿名性確認部と前記加工方針確認部との確認結果に基づいて、前記突合済み匿名加工情報を外部システムに対して出力するかまたは破棄するかの処理を行う突合結果処理部と、
を有している。

そして、前記突合結果処理部は、
前記匿名性確認部における確認結果として、前記突合済み匿名加工情報の匿名性のレベルが、突合対象とする各データ提供元企業の前記匿名加工情報それぞれの匿名性のレベル以上であることが確認された場合であって、
かつ、
前記加工方針確認部における確認結果として、前記突合済み匿名加工情報が、突合対象とする各データ提供元企業の匿名化の加工方針を満たしていることが確認された場合には、
前記突合済み匿名加工情報を外部システムへ出力する処理を行う。

一方、前記突合結果処理部は、
前記匿名性確認部における確認結果として、前記突合済み匿名加工情報の匿名性のレベルが、突合対象とする各データ提供元企業の前記匿名加工情報のいずれか１ないし複数における匿名性のレベル未満になっていることが確認された場合か、
あるいは、
前記加工方針確認部における確認結果として、前記突合済み匿名加工情報が、突合対象とする各データ提供元企業のいずれか1ないし複数における匿名化の加工方針を満たしていないことが確認された場合には、
前記突合済み匿名加工情報を削除し、外部システムへは出力しない処理を行う。

（本発明の実施形態の構成例）
次に、本発明に係る匿名性劣化情報出力防止装置の実施形態について、図１を参照しながら詳細に説明する。図１は、本発明に係る匿名性劣化情報出力防止装置の内部構成の一例を示すブロック構成図であり、該匿名性劣化情報出力防止装置に対して、突合対象となる複数の匿名加工情報それぞれを提供する複数のデータ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれが所有する匿名加工データストアも含めて、その一例を示している。

図１に示す匿名性劣化情報出力防止装置３００は、各企業が提供する複数の匿名加工情報を組み合わせる突合時において匿名性が劣化した情報が突合済み匿名加工情報として出力されることを防止する機能を有する装置であり、突合対象とする各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報を保存している匿名加工データストアとの間で通信を行う機能を有する装置である。すなわち、匿名性劣化情報出力防止装置３００に対して複数の匿名加工データストアを通信可能な状態で接続することにより、各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれが提供する匿名加工情報の組合せによる匿名性の劣化を防止することが可能な匿名加工情報の突合システムとして構築することができる。

なお、匿名加工データストアは、匿名加工情報を提供する各データ提供元企業（Ａ社、Ｂ社、Ｃ社）ごとに配置されていて、図１には、匿名性劣化情報出力防止装置３００と通信を行う複数の匿名加工データストアとして、Ａ社の匿名加工データストア１０、Ｂ社の匿名加工データストア１１、Ｃ社の匿名加工データストア１２が匿名性劣化情報出力防止装置３００に接続されている例を示している。しかし、接続する匿名加工データストアの台数に関しては、かかる場合に限るものではなく、増減しても勿論構わない。

ここで、Ａ社の匿名加工データストア１０、Ｂ社の匿名加工データストア１１、Ｃ社の匿名加工データストア１２それぞれには、それぞれの匿名加工情報を格納している匿名加工情報ＤＢ１００、匿名加工情報ＤＢ１１０、匿名加工情報ＤＢ１２０のそれぞれを有している他に、Ａ社、Ｂ社、Ｃ社それぞれにおいて匿名加工を施す前の元情報である加工前情報を格納している加工前情報ＤＢ１０１、加工前情報ＤＢ１１１、加工前情報ＤＢ１２１のそれぞれを有し、さらに、Ａ社、Ｂ社、Ｃ社それぞれにおいて加工前情報を匿名加工して匿名加工情報を生成するための加工方針情報を登録している加工方針情報ＤＢ１０２、加工方針情報ＤＢ１１２、加工方針情報ＤＢ１２２のそれぞれも有している。

なお、Ａ社、Ｂ社、Ｃ社それぞれの加工方針情報ＤＢ１０２、加工方針情報ＤＢ１１２、加工方針情報ＤＢ１２２それぞれの加工方針情報に関しては、場合によっては、匿名加工情報ＤＢ１００、匿名加工情報ＤＢ１１０、匿名加工情報ＤＢ１２０それぞれの中に含む形で構成するようにしても良いが、ここでは、説明を簡素化するために、それぞれの加工方針情報ＤＢ１０２、加工方針情報ＤＢ１１２、加工方針情報ＤＢ１２２を、匿名加工情報ＤＢ１００、匿名加工情報ＤＢ１１０、匿名加工情報ＤＢ１２０とは独立に設置している場合について説明する。

また、図１に示す匿名性劣化情報出力防止装置３００は、内部に、セキュアメモリ領域部３１０を有している。セキュアメモリ領域部３１０は、ソフトウェアレベルだけでなく、ハードウェアレベルにおけるセキュリティ機能を適用して第三者に傍受されることのないセキュアなメモリ空間を提供する。

つまり、セキュアメモリ領域部３１０は、匿名性劣化情報出力防止装置３００内において、ソフトウェアだけではなくハードウェアによるサポートによって、アプリケーションの安全な実行環境を実現するための技術仕様（ＴＥＥ：Trusted Execution Environment）を用いて、第三者によって傍受されることのないセキュアなメモリ空間を構築している。ここで、該セキュアメモリ領域部３１０は、既存のＴＳＭ（Trust Service Management）やＳＧＸ（Software Guard Extensions）、Trust Zoneといった技術を用いて、セキュアなメモリ空間を構築するようにしても良い。

そして、セキュアメモリ領域部３１０の内部において動作する処理部として、匿名加工情報突合部３１１と匿名加工情報検査部３１２とを有している。

匿名加工情報突合部３１１は、セキュアメモリ領域部３１０内において動作し、複数のデータ提供元企業の匿名加工情報ＤＢ(図１の場合は、匿名加工情報ＤＢ１００、匿名加工情報ＤＢ１１０、匿名加工情報ＤＢ１２０)のそれぞれから突合すべき匿名加工情報を取得して突合し、突合した匿名加工情報を、突合済み匿名加工情報として、匿名加工情報検査部３１２に対して出力する。

つまり、匿名加工情報突合部３１１は、セキュアメモリ領域部３１０において動作し、複数のデータ提供元企業の匿名加工情報（図１の場合は、Ａ社の匿名加工データストア１０の匿名加工情報ＤＢ１００から提供される匿名加工情報、Ｂ社の匿名加工データストア１１の匿名加工情報ＤＢ１１０から提供される匿名加工情報、Ｃ社の匿名加工データストア１２の匿名加工情報ＤＢ１２０から提供される匿名加工情報）を突合し、突合済み匿名加工情報を生成する匿名加工情報生成手段である。

ここで、複数の匿名加工情報を突合する動作は、前記匿名加工情報の各レコードそれぞれを構成する各項目（各欄：各カラム）を確認して、各項目（各欄：各カラム）のうち、突合対象の複数の前記匿名加工情報のレコードそれぞれに共通する各項目（各欄：各カラム）に同一の情報を有しているレコード同士を突合する。

また、匿名加工情報検査部３１２は、匿名加工情報突合部３１１と同様に、セキュアメモリ領域部３１０内において動作し、匿名加工情報突合部３１１から前記突合済み匿名加工情報を受け取ると、突合対象の複数のデータ提供元企業に関する加工前情報ＤＢと加工方針情報ＤＢ(図１の場合は、Ａ社の加工前情報ＤＢ１０１と加工方針情報ＤＢ１０２、Ｂ社の加工前情報ＤＢ１１１と加工方針情報ＤＢ１１２、Ｃ社の加工前情報ＤＢ１２１と加工方針情報ＤＢ１２２)との、それぞれと通信を行って、それぞれの加工前情報と加工方針情報とを取得する。そして、取得したそれぞれの加工前情報と加工方針情報とを勘案して、匿名加工情報突合部３１１から受け取った前記突合済み匿名加工情報の匿名性の劣化検査を実施し、実施した劣化検査結果に従って、受け取った前記突合済み匿名加工情報の外部システムへの出力許可または破棄の判断を行う。

つまり、匿名加工情報検査部３１２は、匿名加工情報突合部３１１と同様に、セキュアメモリ領域部３１０において動作し、突合対象とする複数のデータ提供元企業それぞれにおいて適用されているそれぞれの加工前情報を匿名加工するための加工方針情報を勘案して、匿名加工情報突合部３１１において生成した前記突合済み匿名加工情報の匿名性が担保されているか否かを検査する検査手段である。

さらに説明すると、前記突合済み匿名加工情報の匿名性が担保されているか否かを検査する匿名加工情報検査部３１２は、内部に、匿名性確認部３１２１と加工方針確認部３１２２と突合結果処理部３１２３とを有している。

匿名性確認部３１２１は、突合対象とする各データ提供元企業それぞれの匿名加工情報を参照して、前記突合済み匿名加工情報が、突合対象とする各データ提供元企業の前記匿名加工情報それぞれの匿名性以上のレベルの匿名性を有しているか否かを確認する匿名性確認手段を提供する。具体的には、例えば、匿名性確認部３１２１は、突合済み匿名加工情報を構成する各レコードを確認し、レコード内の情報が同一の情報になっているレコード（すなわち同一レコード）の最少の個数が、突合対象とする各データ提供元企業それぞれの前記匿名加工情報における前記同一レコードの最少の個数以上の値になっていた場合には、該突合済み匿名加工情報は、突合対象とする各データ提供元企業それぞれの前記匿名加工情報の匿名性以上のレベルの匿名性を有していると判断するように構成する。

加工方針確認部３１２２は、突合対象とする各データ提供元企業それぞれの前記加工方針情報と前記加工前情報とを参照して、前記突合済み匿名加工情報が、突合対象とする各データ提供元企業それぞれの匿名化の加工方針を満たしているか否かを確認する加工方針確認手段を提供する。

また、突合結果処理部３１２３は、匿名性確認部３１２１と加工方針確認部３１２２との確認結果に基づいて、前記突合済み匿名加工情報を外部システムに対して出力するかまたは破棄するかのいずれかの処理を行う突合結果処理手段を提供する。

そして、突合結果処理部３１２３は、匿名性確認部３１２１における確認結果として、前記突合済み匿名加工情報の匿名性のレベルが、突合対象とする各データ提供元企業の前記匿名加工情報それぞれの匿名性のレベル以上であることが確認された場合であって、かつ、加工方針確認部３１２２における確認結果として、前記突合済み匿名加工情報が、突合対象とする各データ提供元企業それぞれの匿名化の加工方針を満たしていることが確認された場合には、前記突合済み匿名加工情報は匿名性が十分に担保されている情報であると判断して、前記突合済み匿名加工情報を外部システムへ出力する処理を行う。

一方、突合結果処理部３１２３は、匿名性確認部３１２１における確認結果として、前記突合済み匿名加工情報の匿名性のレベルが、突合対象とする各データ提供元企業のいずれか1ないし複数における前記匿名加工情報の匿名性のレベル未満になっていることが確認された場合か、あるいは、加工方針確認部３１２２における確認結果として、前記突合済み匿名加工情報が、突合対象とする各データ提供元企業のいずれか１ないし複数における匿名化の加工方針を満たしていないことが確認された場合には、前記突合済み匿名加工情報は匿名性が劣化している情報であると判断して、前記突合済み匿名加工情報を削除し、外部システムへは出力しない処理を行う。

ここで、複数のデータ提供元企業の加工前情報とは、図１の場合は、Ａ社の匿名加工データストア１０の加工前情報ＤＢ１０１から提供される加工前情報、Ｂ社の匿名加工データストア１１の加工前情報ＤＢ１１１から提供される加工前情報、Ｃ社の匿名加工データストア１２の加工前情報ＤＢ１２１から提供される加工前情報、である。

また、複数の該データ提供元企業の加工前情報を匿名加工するための加工方針情報とは、図１の場合は、Ａ社の匿名加工データストア１０の加工方針情報ＤＢ１０２から提供される加工方針情報、Ｂ社の匿名加工データストア１１の加工方針情報ＤＢ１１２から提供される加工方針情報、Ｃ社の匿名加工データストア１２の加工方針情報ＤＢ１２２から提供される加工方針情報、である。なお、複数のデータ提供元企業の匿名加工情報とは、図１の場合は、Ａ社の匿名加工データストア１０の匿名加工情報ＤＢ１００から提供される匿名加工情報、Ｂ社の匿名加工データストア１１の匿名加工情報ＤＢ１１０から提供される匿名加工情報、Ｃ社の匿名加工データストア１２の匿名加工情報ＤＢ１２０から提供される匿名加工情報、である。

次に、複数のデータ提供元企業の加工前情報、加工方針情報、匿名加工情報の具体例を用いて、匿名性劣化情報出力防止装置３００において生成する前記突合済み匿名加工情報の匿名性について、その一例を説明する。

図２は、図１に示すＡ社の匿名加工データストア１０の加工前情報ＤＢ１０１に格納されている加工前情報の登録例を示すテーブルであり、コンビニＡ、コンビニＢの各コンビニを利用した客層（性別および年齢）と購入した品物と支払方法（現金、キャッシュレスＡ，Ｂ，Ｃの各方式）とを調査会社によってリサーチした結果の登録例を示している。

また、図３は、図１に示すＡ社の匿名加工データストア１０の加工方針情報ＤＢ１０２に登録されている加工方針情報の登録例を示すテーブルであり、図２のテーブルに格納されている加工前情報それぞれを匿名加工する際に適用する加工方針情報の登録例を示している。なお、本実施形態においては、説明を簡素化するために、加工前情報を匿名加工する加工方針として、図２の加工前情報のレコードそれぞれの各項目（各欄：各カラム）ごとに加工方法を設定している場合を例示し、例えば、加工前情報の項目を削除、加工前情報の項目をそのまま利用、または、加工前情報の項目の一般化や上位概念化を図る加工、等を指定する場合を示している。なお、以下に説明するＢ社の加工方針情報（図６）、Ｃ社の加工方針情報（図９および図１１）に関しても、Ａ社の加工方針情報（図３）と同様に、加工前情報のレコードそれぞれの各項目（各欄：各カラム）ごとに加工方法を設定している場合を例示している。

さらに説明すると、例えば、図３の加工方針情報として、図２の加工前情報の各項目欄について、項番を示すＩＤ欄は削除し、また、コンビニ名を示す利用会社欄および購買客の性別を示す性別欄は、そのまま利用するように設定する。また、購買客の年齢を示す年齢欄については、１０歳単位で切り捨てて一般化を図る加工を施し、また、購入品を示す品物欄は、上位概念に変換する加工を施し、また、代金の支払方法を示す支払方法欄は、現金とキャッシュレスとの２つのいずれかに一般化する加工を施すように設定している。

また、図４は、図１に示すＡ社の匿名加工データストア１０の匿名加工情報ＤＢ１００に格納されている匿名加工情報の登録例を示すテーブルであり、図２のテーブルに格納されている加工前情報を図３に例示した加工方針に従って匿名加工した匿名加工情報の登録例を示している。

ここで、匿名加工を行う際に、加工前情報の項目の一般化や上位概念化を図る加工として、ｋ−匿名性を満たすような加工を行うことを匿名加工情報の匿名化を保証するための前提としている。ｋ−匿名性とは、匿名加工した結果として、加工された匿名加工情報の各項目（各カラム）の情報が同一になっているレコードの個数が、同一レコード数閾値としてあらかじめ定めたｋ個未満のレコード数に絞り込まれていないことを保証するための指標であって、匿名加工情報の匿名化のレベルを示す指標として利用することが可能である。

例えば、ｋ−匿名性を満たす加工の一例に関して、同一レコード数閾値ｋ＝３（すなわち匿名加工結果として同一のレコード情報になるレコード数が３個以上確保されていることを確認するための閾値）を匿名加工情報の匿名性を保証するための指標としてあらかじめ設定していた場合について説明する。図４に示した匿名加工情報の場合、利用会社・性別・年齢・品物・支払方法の各欄（各カラム）が同一の情報になっているレコード（すなわち同一レコード）の最少の個数は、３個（すなわち、第１レコード〜第３レコードの３個のレコード、第４レコード〜第６レコードの３個のレコード、第７レコード〜第９レコードの３個のレコード、第１０レコード〜第１２レコードの３個のレコード）であり、同一レコード数閾値ｋ＝３と同じ値である。したがって、図４に示した匿名加工情報に関しては、ｋ−匿名性（ｋ＝３）を満たす匿名加工結果が得られていて、匿名加工情報の匿名性の劣化が発生していないことを示している。

次に、図５、図６、図７は、Ｂ社の匿名加工データストア１１に関するテーブルであり、それぞれ、Ａ社の匿名加工データストア１０における図２、図３、図４と同様に、加工前情報ＤＢ１１１、加工方針情報ＤＢ１１２、匿名加工情報ＤＢ１１０の登録例を示している。

ここで、図５は、図１に示すＢ社の匿名加工データストア１１の加工前情報ＤＢ１１１に格納されている加工前情報の登録例を示すテーブルであり、代金の支払方法としてキャッシュレスを用いた場合を対象として、コンビニＡ、コンビニＢの各コンビニを利用した客層（年齢）とキャッシュレスによる支払方式（キャッシュレスＡ，Ｂ，Ｃの各方式）とを調査会社によってリサーチした結果の登録例を示している。つまり、代金の支払方法が現金であった場合を除き、キャッシュレスのいずれかの方式を用いて代金を支払った場合に絞って登録している場合を示している。

また、図６は、図１に示すＢ社の匿名加工データストア１１の加工方針情報ＤＢ１１２に登録されている加工方針情報の登録例を示すテーブルであり、図５のテーブルに格納されている加工前情報それぞれを匿名加工する際に適用する加工方針情報の登録例を示している。つまり、図６の加工方針情報として、図５の加工前情報の各項目欄について、項番を示すＩＤ欄は削除し、また、コンビニ名を示す利用会社欄および代金のキャッシュレス支払方式を示す支払方式欄は、そのまま利用し、また、購買客の年齢を示す年齢欄は、１０歳単位で切り捨てる加工を施すように設定している場合を示している。

また、図７は、図１に示すＢ社の匿名加工データストア１１の匿名加工情報ＤＢ１１０に格納されている匿名加工情報の登録例を示すテーブルであり、図５のテーブルに格納されている加工前情報を図６に例示した加工方針に従って匿名加工した匿名加工情報の登録例を示している。

同一レコード数閾値ｋ＝３を匿名加工情報の匿名性を保証するための指標としてあらかじめ設定していた場合、図７に示す匿名加工情報において、利用会社・年齢・支払方式の各欄（各カラム）のいずれも同一の情報になっているレコード（すなわち同一レコード）の最少の個数は、図４の場合と同様、３個（すなわち、第１レコード〜第３レコードの３個のレコード、第４レコード〜第６レコードの３個のレコード、第７レコード〜第９レコードの３個のレコード）であり、同一レコード数閾値ｋ＝３と同じ値である。したがって、図７に示した匿名加工情報に関しても、ｋ−匿名性（ｋ＝３）を満たす匿名加工結果が得られていて、匿名加工情報の匿名性の劣化が発生していないことを示している。

次に、図８、図９、図１０は、Ｃ社の匿名加工データストア１２に関するテーブルであり、それぞれ、Ａ社の匿名加工データストア１０における図２、図３、図４と同様に、加工前情報ＤＢ１２１、加工方針情報ＤＢ１２２、匿名加工情報ＤＢ１２０の登録例を示している。

ここで、図８は、図１に示すＣ社の匿名加工データストア１２の加工前情報ＤＢ１２１に格納されている加工前情報の登録例を示すテーブルであり、コンビニＡ、コンビニＢの各コンビニを利用した客層（性別および年齢）と各コンビニを利用した時間帯を示す利用時間帯（分以下を切り捨てた時刻）とを調査会社によってリサーチした結果の登録例を示している。

また、図９は、図１に示すＣ社の匿名加工データストア１２の加工方針情報ＤＢ１２２に登録されている加工方針情報の登録例を示すテーブルであり、図８のテーブルに格納されている加工前情報それぞれを匿名加工する際に適用する加工方針情報の登録例を示している。つまり、図９の加工方針情報として、図８の加工前情報の各項目欄について、項番を示すＩＤ欄は削除し、また、コンビニ名を示す利用会社欄および購買客の性別を示す性別欄は、そのまま利用し、また、購買客の年齢を示す年齢欄は、１０歳単位で切り捨てる加工を施している場合を示している。また、利用した時間帯を示す利用時間帯欄は、早朝（例えば４：００〜７：００）、午前（例えば７：００〜１２：００）、午後（例えば１２：００〜１７：００）、夜（例えば１７：００〜２１：００）、深夜（例えば２１：００〜２８：００）のいずれかの時間帯を示す時間幅として一般化した加工を施すように設定している場合を示している。

また、図１０は、図１に示すＣ社の匿名加工データストア１２の匿名加工情報ＤＢ１２０に格納されている匿名加工情報の登録例を示すテーブルであり、図８のテーブルに格納されている加工前情報を図９に例示した加工方針に従って匿名加工した匿名加工情報の登録例を示している。

図１０の利用時間帯欄に示すように、匿名加工方法として一般化した加工結果を示す各コンビニを利用した購買客の利用時間帯としては、午前（７：００〜１２：００）、午後（１２：００〜１８：００）、深夜（２１：００〜２８：００）の各時間帯であり、早朝（４：００〜７：００）、夜（１８：００〜２１：００）の時間帯には利用していない加工結果になっている。

同一レコード数閾値ｋ＝３を匿名加工情報の匿名性を保証するための指標としてあらかじめ設定していた場合、図１０に示す匿名加工情報において、利用会社・性別・年齢・利用時間帯の各欄（各カラム）のいずれも同一の情報になっているレコード（すなわち同一レコード）の最少の個数は、図４の場合と同様、３個（すなわち、第１レコード〜第３レコードの３個のレコード、第４レコード〜第９レコードの６個のレコード、第１０レコード〜第１２レコードの３個のレコード）であり、同一レコード数閾値ｋ＝３と同じ値である。したがって、図１０に示した匿名加工情報に関しても、ｋ−匿名性（ｋ＝３）を満たす匿名加工結果が得られていて、匿名加工情報の匿名性の劣化が発生していないことを示している。

なお、図１０とは異なる匿名加工情報を生成するために、図９の加工方針情報ＤＢ１２２における利用時間帯に関する加工方針情報の見直しを行い、例えば、図１１に示すように、図９とは異なる加工方針を用いて利用時間帯に関する情報の一般化を行うようにすることも可能である。

図１１は、図１に示すＣ社の匿名加工データストア１２の加工方針情報ＤＢ１２２に登録されている加工方針情報の図９とは異なる登録例を示すテーブルであり、図８のテーブルに登録されている加工前情報を匿名加工する際に適用する加工方針として、利用時間帯情報に関し、図９に示した加工方針とは異なる設定した場合の一例を示している。

つまり、図１１の加工方針情報においては、図８の加工前情報の各項目欄について、利用した時間帯を示す利用時間帯欄の利用時間帯に関する情報を除く他の情報に関しては、図９の場合と全く同じであり、項番を示すＩＤ欄は削除し、また、コンビニ名を示す利用会社欄および購買客の性別を示す性別欄は、そのまま利用し、また、購買客の年齢を示す年齢欄は、１０歳単位で切り捨てる加工を施している。

一方、利用した時間帯を示す利用時間帯欄に関しては、図９の場合から変更して、夕方（例えば１６：３０〜１８：００）の時間帯をさらに追加することにより、図９の場合の午後（例えば１２：００〜１８：００）をさらに２つの時間帯に細分化して、午後（例えば１２：００〜１６：３０）、夕方（例えば１６：３０〜１８：００）に分離して一般化するように変更している。

図１２は、図１に示すＣ社の匿名加工データストアの匿名加工情報ＤＢに格納されている匿名加工情報の図１０とは異なる登録例を示すテーブルであり、図８のテーブルに格納されている加工前情報を図１１に例示した加工方針に従って匿名加工した匿名加工情報の登録例を示している。なお、図１２においては、図１０の場合とは異なり、利用時間帯欄は、各時間帯を示す時間幅ではなく、早朝、午前、午後、夕方、夜、深夜のいずれかの用語を用いて示している。

図１２の利用時間帯欄に示すように、匿名加工方法として一般化した加工結果を示す各コンビニを利用した購買客の利用時間帯としては、図１０の場合と同様に、早朝（４：００〜７：００）、夜（１８：００〜２１：００）の時間帯にはどのコンビニも利用していないものの、図１０の場合とは異なり、午前（７：００〜１２：００）、午後（１２：００〜１６：３０）、夕方（１６：３０〜１８：００）、深夜（２１：００〜２８：００）の４つの時間帯のいずれかのコンビニを利用していることになる。

しかし、図１２に示す匿名加工情報においては、利用会社・性別・年齢・利用時間帯の各欄（各カラム）のいずれも同一の情報になっているレコード（すなわち同一レコード）の最少の個数は、図４の場合とは異なり、２個（すなわち、第１レコード〜第３レコードの３個のレコード、第４レコード〜第７レコードの４個のレコード、第８レコード〜第９レコードの２個のレコード、第１０レコード〜第１２レコードの３個のレコード）になっている。つまり、図１０の匿名加工情報の場合の最少の同一レコード数（３個）よりも低い値になっている。

したがって、図１０の場合と同様に、同一レコード数閾値ｋ＝３を匿名加工情報の匿名性を保証するための指標としてあらかじめ設定していた場合、図１２に示す匿名加工情報においては、最少の同一レコード数（２個）が、同一レコード数閾値ｋ＝３未満の値になって、ｋ−匿名性（ｋ＝３）を満たす匿名加工結果が得られていないことになり、匿名性が劣化していることになる。このため、図１１に示した利用時間帯欄の加工方針に関しては、同一レコード数閾値ｋ＝３を用いている場合は、分類する時間帯を同一レコード数が３個以上になるように変更するか、または、利用時間帯欄そのものを削除するかのいずれかを選択し直すことが必要になる。

（本発明の実施形態の動作例の説明）
次に、図１に本発明の一実施形態として示した匿名性劣化情報出力防止装置３００の動作について、その一例を、図１３のフローチャートを参照しながら詳細に説明する。図１３は、図１に本発明の一実施形態として示した匿名性劣化情報出力防止装置３００の動作の一例を示すフローチャートであり、図１に示したように、該匿名性劣化情報出力防止装置３００に対して、突合対象となる複数の匿名加工情報それぞれを提供する複数のデータ提供元企業（Ａ社、Ｂ社、Ｃ社）が所有するそれぞれの匿名加工データストア１０、匿名加工データストア１１、匿名加工データストア１２が通信可能な状態で接続されて、複数の匿名加工情報の突合を行う突合システムとして構成されている場合を示している。

図１３のフローチャートは、匿名性劣化情報出力防止装置３００のオペレータの操作により、複数のデータ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報に関する突合の指示がなされると起動して、まず、該オペレータの指示内容が、匿名性劣化情報出力防止装置３００のセキュアメモリ領域部３１０内において動作する匿名加工情報突合部３１１に対して送信される。

匿名加工情報突合部３１１は、前記オペレータからの指示内容を受け取ると、セキュアメモリ領域部３１０内において、該指示内容において指定されている複数のデータ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工データストア（匿名加工データストア１０、匿名加工データストア１１、匿名加工データストア１２）にアクセスして、それぞれの匿名加工情報ＤＢ（匿名加工情報ＤＢ１００、匿名加工情報ＤＢ１１０、匿名加工情報ＤＢ１２０）から、それぞれの匿名加工情報を、突合すべき匿名加工情報として、読み込む（ステップＳ１）

次いで、匿名加工情報突合部３１１は、前記オペレータからの指示に従って、突合すべき匿名加工情報として読み込んだ、複数のデータ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれに関する匿名加工情報の突合処理を行い、図１４〜図１６に示すような、突合済み匿名加工情報として生成する（ステップＳ２）。なお、匿名加工情報の突合処理としては、前述したように、匿名加工情報の各レコードそれぞれを構成する各項目（カラム）のうち、突合対象の複数の匿名加工情報のレコードそれぞれに共通する項目（欄：カラム）として同一の情報を有しているレコード同士を突合する。

ここで、図１４は、図４に示したＡ社の匿名加工情報ＤＢ１００から読み込んだ匿名加工情報と図１０に示したＣ社の匿名加工情報ＤＢ１２０から読み込んだ匿名加工情報とを突合処理した突合済み匿名加工情報の一例を示すテーブルであり、図４の匿名加工情報と図１０の匿名加工情報とを、利用会社・性別・年齢の各項目（各欄：各カラム）の情報が互いに合致する各項目（各欄：各カラム）同士を突合させて生成した突合済み匿名加工情報の一例を示している。すなわち、図１４の突合済み匿名加工情報は、図４のＡ社の匿名加工情報の各項目（各欄：各カラム）に対して、図１０のＣ社の匿名加工情報の利用時間帯欄の項目を組み合わせた情報によって構成される。

なお、図１４の突合済み匿名加工情報の場合、最少同一レコード数すなわちレコード内の情報が同一の情報になっている同一レコードの最少の個数（さらに説明すると、レコードを構成する各項目（各欄：各カラム）のいずれも同一の情報になっているレコードの最少の個数）は、３個（すなわち、第１レコード〜第３レコードの３個のレコード、第４レコード〜第６レコードの３個のレコード、第７レコード〜第９レコードの３個のレコード、第１０レコード〜第１２レコードの３個のレコード）である。

また、図１５は、図４に示したＡ社の匿名加工情報ＤＢ１００から読み込んだ匿名加工情報と図１２に示したＣ社の匿名加工情報ＤＢ１２０から読み込んだ匿名加工情報とを突合処理した突合済み匿名加工情報の一例を示すテーブルであり、図４の匿名加工情報と図１２の匿名加工情報とを、図１４の場合と同様に、利用会社・性別・年齢の各項目（各欄：各カラム）の情報が互いに合致する各項目（各欄：各カラム）同士を突合させて生成した突合済み匿名加工情報の一例を示している。すなわち、図１５の突合済み匿名加工情報は、図４のＡ社の匿名加工情報の各項目（各欄：各カラム）に対して、図１２のＣ社の匿名加工情報の利用時間帯欄の項目を組み合わせた情報によって構成される。

なお、図１５の突合済み匿名加工情報の場合、最少同一レコード数すなわちレコード内の情報が同一の情報になっている同一レコードの最少の個数は、図１４の場合とは異なり、１個（すなわち、第１レコード〜第３レコードの３個のレコード、第４レコード〜第６レコードの３個のレコード、第７レコードのみの１個のレコード、第８レコード〜第９レコードの２個のレコード、第１０レコード〜第１２レコードの３個のレコード）である。

また、図１６は、図４に示したＡ社の匿名加工情報ＤＢ１００から読み込んだ匿名加工情報と図７に示したＢ社の匿名加工情報ＤＢ１１０から読み込んだ匿名加工情報とを突合処理した突合済み匿名加工情報の一例を示すテーブルであり、図４の匿名加工情報と図７の匿名加工情報とを、利用会社・年齢の各項目（各欄：各カラム）の情報が互いに合致する各項目（各欄：各カラム）同士を突合させて生成した突合済み匿名加工情報の一例を示している。すなわち、図１６の突合済み匿名加工情報は、図４のＡ社の匿名加工情報の各項目（各欄：各カラム）に対して、図７のＢ社の匿名加工情報の支払方式欄の項目を組み合わせた情報によって構成される。

なお、図７のＢ社の匿名加工情報は、前述したように、代金を現金ではなくキャッシュレスを用いて支払った場合について登録しているので、図１６の突合済み匿名加工情報においては、図４のＡ社の匿名加工情報における支払方法が現金の場合の各レコード（第７レコード〜第９レコードの各レコード）に関しては、突合した支払方式欄（図７のＢ社の匿名加工情報の支払方式欄）は「−」（データ無しの旨を示す記号）が表示されている。

ここで、図１６の突合済み匿名加工情報の場合、最少同一レコード数すなわちレコード内の情報が同一の情報になっている同一レコードの最少の個数は、図１４の場合と同様、３個（すなわち、第１レコード〜第３レコードの３個のレコード、第４レコード〜第６レコードの３個のレコード、第７レコード〜第９レコードの３個のレコード、第１０レコード〜第１２レコードの３個のレコード）である。

図１３のフローチャートの説明に戻って、匿名加工情報突合部３１１において図１４〜図１６に例示したような突合済み匿名加工情報を生成すると、次に、生成した各突合済み匿名加工情報の匿名性を検査するために、匿名加工情報検査部３１２を起動する。

起動された匿名加工情報検査部３１２は、匿名加工情報突合部３１１と同様、匿名性劣化情報出力防止装置３００のセキュアメモリ領域部３１０内において動作する。そして、起動した匿名加工情報検査部３１２は、まず、匿名性確認部３１２１を起動して、匿名加工情報突合部３１１において生成した各突合済み匿名加工情報が、それぞれの突合元である各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報以上の匿名性を有しているか否かを確認する（ステップＳ３）。

つまり、匿名加工情報突合部３１１において生成した各突合済み匿名加工情報と、突合済み匿名加工情報それぞれの突合元である各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報と、のそれぞれにおける最少同一レコード数すなわちレコード内の情報が同一の情報になっている同一レコードの最少の個数に関する情報を取得する。そして、取得した突合済み匿名加工情報の前記最少同一レコード数が、該突合済み匿名加工情報の突合元である各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報の前記最少同一レコード数以上の値になっているか否かを確認する。

言い換えると、匿名加工情報突合部３１１において生成した突合済み匿名加工情報を構成する各レコードを確認し、該突合済み匿名加工情報におけるレコード内の情報が同一の情報になっている同一レコードの最少の個数が、突合対象とする各データ提供元企業それぞれの前記匿名加工情報における前記同一レコードの最少の個数以上の値になっていた場合には、該突合済み匿名加工情報は、突合対象とする各データ提供元企業それぞれの前記匿名加工情報の匿名性以上のレベルの匿名性を有していると判断する。一方、前記突合済み匿名加工情報におけるレコード内の情報が同一の情報になっている同一レコードの最少の個数が、突合対象とする各データ提供元企業のうちのいずれか１ないし複数において前記匿名加工情報における前記同一レコードの最少の個数未満の値に絞り込まれてしまっていた場合には、該突合済み匿名加工情報は、突合対象とする各データ提供元企業の前記匿名加工情報のいずれかの匿名性よりも劣化したレベルの匿名性になっていると判断する。

ここで、前述したように、本実施形態においては、図１４に示す突合済み匿名加工情報の前記最少同一レコード数は３個であり、該突合済み匿名加工情報の突合元となる図４の匿名加工情報の前記最少同一レコード数および図１０の匿名加工情報の前記最少同一レコード数はいずれも３個である。また、図１５に示す突合済み匿名加工情報の前記最少同一レコード数は１個であり、該突合済み匿名加工情報の突合元となる図４の匿名加工情報の前記最少同一レコード数は３個であり、図１２の匿名加工情報の前記最少同一レコード数は２個である。また、図１６に示す突合済み匿名加工情報の前記最少同一レコード数は３個であり、該突合済み匿名加工情報の突合元となる図４の匿名加工情報の前記最少同一レコード数および図７の匿名加工情報の前記最少同一レコード数はいずれも３個である。

したがって、図１４および図１６のそれぞれに示す突合済み匿名加工情報に関しては、いずれも、突合元の各データ提供元企業の匿名加工情報（図４の匿名加工情報、図１０の匿名加工情報および図７の匿名加工情報）の場合と同様、前記最少同一レコード数は３個であり、突合元である各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報の前記最少同一レコード数以上の値になっている。したがって、図１４および図１６のそれぞれに示す突合済み匿名加工情報に関しては、突合済み匿名加工情報が、それぞれの突合元である各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報以上の匿名性を有している場合であると判定して（ステップＳ３のＹＥＳ）、ステップＳ４の処理に移行する。

これに対して、図１５に示す突合済み匿名加工情報に関しては、前記最少同一レコード数が１個であり、突合元の一方の図４の匿名加工情報の前記最少同一レコード数が３個であり、突合元の他方の図１２の匿名加工情報の前記最少同一レコード数が２個である。したがって、図１５に示す突合済み匿名加工情報の前記最少同一レコード数は、突合元の図４および図１２の匿名加工情報それぞれの前記最少同一レコード数よりも少ない値であり、図１５に示す突合済み匿名加工情報に関しては、突合済み匿名加工情報が、それぞれの突合元である各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報以上の匿名性を有していない場合であると判定して（ステップＳ３のＮＯ）、ステップＳ７の処理に移行する。つまり、突合済み匿名加工情報の匿名性のレベルが、突合対象とする各データ提供元企業の匿名加工情報のいずれか１ないし複数における匿名性のレベル未満になっていることが確認された場合には、該突合済み匿名加工情報は、突合元のいずれか１ないし複数のデータ提供元企業の匿名加工情報よりも匿名性が劣化している情報であると判断して、ステップＳ７の処理に移行する。

図１４および図１６のそれぞれに示す突合済み匿名加工情報に関し、それぞれの突合元である各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの匿名加工情報以上の匿名性を有していると判定して、ステップＳ４の処理に移行すると、匿名加工情報検査部３１２は、次に、加工方針確認部３１２２を起動して、それぞれの突合元である各データ提供元企業（Ａ社、Ｂ社、Ｃ社）の加工前情報ＤＢと加工方針情報ＤＢとにアクセスして、それぞれの加工前情報と加工方針情報とを読み込む（ステップＳ４）。

すなわち、図１４に示す突合済み匿名加工情報の場合は、Ａ社の匿名加工データストア１０の加工前情報ＤＢ１０１と加工方針情報ＤＢ１０２とからＡ社の加工前情報（図２の加工前情報）と加工方針情報（図３の加工方針情報）とを読み込むとともに、Ｃ社の匿名加工データストア１２の加工前情報ＤＢ１２１と加工方針情報ＤＢ１２２とからＣ社の加工前情報（図８の加工前情報）と加工方針情報（図９の加工方針情報）とを読み込む。

また、図１６に示す突合済み匿名加工情報の場合は、Ａ社の匿名加工データストア１０の加工前情報ＤＢ１０１と加工方針情報ＤＢ１０２とからＡ社の加工前情報（図２の加工前情報）と加工方針情報（図３の加工方針情報）とを読み込むとともに、Ｂ社の匿名加工データストア１１の加工前情報ＤＢ１１１と加工方針情報ＤＢ１１２とからＢ社の加工前情報（図５の加工前情報）と加工方針情報（図６の加工方針情報）とを読み込む。

匿名加工情報検査部３１２の加工方針確認部３１２２は、図１４および図１６のそれぞれに示す突合済み匿名加工情報に関して、それぞれの突合元である各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの加工前情報と加工方針情報とを読み込むと、突合対象とする各データ提供元企業（Ａ社、Ｂ社、Ｃ社）それぞれの加工前情報と加工方針情報とを参照して、図１４および図１６のそれぞれに示す突合済み匿名加工情報が、それぞれの突合元である各データ提供元企業における匿名化の加工方針を満たしているか否かを確認する（ステップＳ５）。

つまり、図１４の突合済み匿名加工情報の場合は、突合元であるＡ社の加工前情報（図２の加工前情報）を匿名加工するための加工方針情報（図３の加工方針情報）およびＣ社の加工前情報（図８の加工前情報）を匿名加工するための加工方針情報（図９の加工方針情報）のいずれの加工方針も満たしているか否かを確認する。また、図１６の突合済み匿名加工情報の場合は、突合元であるＡ社の加工前情報（図２の加工前情報）を匿名加工するための加工方針情報（図３の加工方針情報）およびＢ社の加工前情報（図５の加工前情報）を匿名加工するための加工方針情報（図６の加工方針情報）のいずれの加工方針も満たしているか否かを確認する。

図１４の突合済み匿名加工情報の場合は、突合元であるＡ社の加工方針情報（図３の加工方針情報）およびＣ社の加工方針情報（図９の加工方針情報）のいずれの加工方針も満たしているので（ステップＳ５のＹＥＳ）、加工方針とｋ−匿名性との双方を満たしている状態、すなわち、十分な匿名性が担保された安全性が高い状態の突合済み匿名加工情報であって、外部システムに対して出力することが可能な状態であると判断して、ステップＳ６に進む。

ステップＳ６に進むと、匿名加工情報検査部３１２は、突合結果処理部３１２３を起動して、加工方針とｋ−匿名性との双方を満たしている状態、すなわち、十分な匿名性が担保された安全性が高い状態の突合済み匿名加工情報を、匿名性劣化情報出力防止装置３００から外部のシステムに対して出力して、処理を終了する（ステップＳ６）。

一方、図１６の突合済み匿名加工情報の場合は、突合元であるＡ社の加工方針情報の支払方法欄の情報に対してＣ社の匿名加工情報の支払方式欄の情報がさらに結合されている状態になっているので、Ａ社の加工前情報（図２の加工前情報）に対してｋ−匿名化を満たすように匿名加工を施していたＡ社の加工方針情報（図３の加工方針情報）に反した情報を生成してしまっている。

図１６の突合済み匿名加工情報の場合についてさらに具体的に説明すると、次の通りである。すなわち、突合元であるデータ提供元企業の一つであるＡ社の匿名加工情報に関しては、Ａ社の加工方針情報（図３の加工方針情報）に基づいて、Ａ社の加工前情報（図２の加工前情報）の支払方法欄の情報（現金の他にキャッシュレスのＡ方式、Ｂ方式、Ｃ方式の情報が存在している）に対してｋ−匿名性を満たすように匿名加工（現金、キャッシュレスのいずれかに一般化した加工）を施して匿名加工情報（図４の匿名加工情報）を生成していた。

それにも関わらず、図１６の突合済み匿名加工情報の場合、Ａ社の該匿名加工情報に対して突合対象となるＣ社の匿名加工情報の支払方式欄の情報を結合した結果として、キャッシュレスのＡ方式、Ｂ方式、Ｃ方式に関する情報が追加されてしまい、突合元のＡ社の加工方針情報（図３の加工方針情報）に示した加工方針に反した情報が追加されている。

したがって、図１６の突合済み匿名加工情報の場合は、突合元であるＡ社の加工方針情報（図３の加工方針情報）の加工方針を満たしていないので（ステップＳ５のＮＯ）、突合元の加工方針を満たしていない状態すなわち匿名性が劣化した状態の突合済み匿名加工情報であると判断して、ステップＳ７に移行する。言い換えると、突合済み匿名加工情報が、突合対象とする各データ提供元企業のいずれか１ないし複数における匿名化の加工方針を満たしていないことが確認された場合には、該突合済み匿名加工情報の匿名性は劣化していると判断して、ステップＳ７に移行する。

ステップＳ７に移行すると、匿名加工情報検査部３１２は、突合結果処理部３１２３を起動して、突合元である各データ提供元企業の匿名加工情報以上の匿名性を有していない状態（ステップＳ３のＮＯの状態）または突合元である各データ提供元企業の加工方針を満たしていない状態（ステップＳ５のＮＯの状態）にある突合済み匿名加工情報を、ｋ−匿名性を満たしていない状態または突合元の加工方針を満たしていない状態であって、匿名性が劣化した状態の情報であると判断された場合として、外部のシステムに対して出力することなく、破棄してしまうことにより、処理を終了する（ステップＳ７）。

（実施形態の効果の説明）
以上に詳細に説明したように、本実施形態に係る匿名性劣化情報出力防止装置３００においては、以下のような効果を奏することができる。

すなわち、複数のデータ提供元企業が保有する匿名加工情報を突合して突合済み匿名加工情報を生成する際に、該突合済み匿名加工情報の匿名性を担保し、かつ、突合対象とする各データ提供元企業の匿名化の加工方針を満たした状態で、安全性が高い情報として生成されたか否かを確実に確認することが可能であるので、匿名性を有することが十分に担保された状態の突合済み匿名加工情報を外部システムに対して提供することが可能である。

さらに、該突合済み匿名加工情報を生成する際に、第三者によって傍受されることのないセキュアなメモリ空間（セキュアメモリ領域部３１０）を用いて動作させることにより、突合対象とする複数のデータ提供元企業が保有する加工前情報を第三者に対して漏洩させることもなく、安全に、各データ提供元企業が提供する匿名加工情報を突合させた突合済み匿名加工情報を生成することが可能である。

以上、本発明の好適な実施形態の構成を説明した。しかし、かかる実施形態は、本発明の単なる例示に過ぎず、何ら本発明を限定するものではないことに留意されたい。本発明の要旨を逸脱することなく、特定用途に応じて種々の変形変更が可能であることが、当業者には容易に理解できよう。

１０ 匿名加工データストア
１１ 匿名加工データストア
１２ 匿名加工データストア
１００ 匿名加工情報ＤＢ
１０１ 加工前情報ＤＢ
１０２ 加工方針情報ＤＢ
１１０ 匿名加工情報ＤＢ
１１１ 加工前情報ＤＢ
１１２ 加工方針情報ＤＢ
１２０ 匿名加工情報ＤＢ
１２１ 加工前情報ＤＢ
１２２ 加工方針情報ＤＢ
３００ 匿名性劣化情報出力防止装置
３１０ セキュアメモリ領域部
３１１ 匿名加工情報突合部
３１２ 匿名加工情報検査部
３１２１ 匿名性確認部
３１２２ 加工方針確認部
３１２３ 突合結果処理部

Claims (10)

1. 突合対象とする各データ提供元企業それぞれの匿名加工情報と該匿名加工情報の匿名加工前の元情報である加工前情報と前記加工前情報を前記匿名加工情報に匿名加工するための加工方針情報とを保存している匿名加工データストアとの間で通信を行う機能と、各前記データ提供元企業の前記匿名加工データストアそれぞれから取得した前記匿名加工情報を組み合わせる突合時において匿名性が劣化した情報が突合済み匿名加工情報として出力されることを防止する機能と、を有する匿名性劣化情報出力防止装置であって、
   ハードウェアレベルにおけるセキュリティ機能を適用して第三者に傍受されることのないセキュアなメモリ空間を提供するセキュアメモリ領域部と、
   前記セキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業の匿名加工情報を突合し、突合済み匿名加工情報を生成する匿名加工情報突合部と、
   前記セキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業それぞれにおいて適用されている前記加工前情報を匿名加工するための前記加工方針情報を勘案して、生成した前記突合済み匿名加工情報の匿名性が担保されているか否かを確認する匿名加工情報検査部と、
   を有していることを特徴とする匿名性劣化情報出力防止装置。
2. 前記匿名加工情報検査部は、内部に、
   突合対象とする各前記データ提供元企業の前記匿名加工情報を参照して、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの前記匿名加工情報の匿名性以上のレベルの匿名性を有しているか否かを確認する匿名性確認部と、
   突合対象とする各前記データ提供元企業の前記加工方針情報と前記加工前情報とを参照して、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの匿名化の加工方針を満たしているか否かを確認する加工方針確認部と、
   前記匿名性確認部と前記加工方針確認部との確認結果に基づいて、前記突合済み匿名加工情報を外部システムに対して出力するかまたは破棄するかの処理を行う突合結果処理部と、
   を有していることを特徴とする請求項１に記載の匿名性劣化情報出力防止装置。
3. 前記匿名性確認部は、
   前記突合済み匿名加工情報を構成する各レコードを確認し、レコード内の情報が同一の情報になっている同一レコードの最少の個数が、突合対象とする各前記データ提供元企業それぞれの前記匿名加工情報における前記同一レコードの最少の個数以上の値になっていた場合には、
   該突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの前記匿名加工情報の匿名性以上のレベルの匿名性を有していると判断する、
   ことを特徴とする請求項２に記載の匿名性劣化情報出力防止装置。
4. 前記突合結果処理部は、
   前記匿名性確認部における確認結果として、前記突合済み匿名加工情報の匿名性のレベルが、突合対象とする各前記データ提供元企業それぞれの前記匿名加工情報の匿名性のレベル以上であることが確認された場合であって、
   かつ、
   前記加工方針確認部における確認結果として、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの匿名化の加工方針を満たしていることが確認された場合には、
   前記突合済み匿名加工情報を外部システムへ出力する処理を行い、
   一方、
   前記匿名性確認部における確認結果として、前記突合済み匿名加工情報の匿名性のレベルが、突合対象とする各前記データ提供元企業のいずれか１ないし複数における前記匿名加工情報の匿名性のレベル未満になっていることが確認された場合か、
   または、
   前記加工方針確認部における確認結果として、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業のいずれか１ないし複数における匿名化の加工方針を満たしていないことが確認された場合には、
   前記突合済み匿名加工情報を削除し、外部システムへは出力しない処理を行う、
   ことを特徴とする請求項２または３に記載の匿名性劣化情報出力防止装置。
5. 突合対象とする各データ提供元企業それぞれの匿名加工情報と該匿名加工情報の匿名加工前の元情報である加工前情報と前記加工前情報を前記匿名加工情報に匿名加工するための加工方針情報とを保存している匿名加工データストアとの間で通信を行うステップと、各前記データ提供元企業の前記匿名加工データストアそれぞれから取得した前記匿名加工情報を組み合わせる突合時において匿名性が劣化した情報が突合済み匿名加工情報として出力されることを防止するステップと、を有する匿名性劣化情報出力防止方法であって、
   ハードウェアレベルにおけるセキュリティ機能を適用して第三者に傍受されることのないセキュアなメモリ空間を提供するセキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業の匿名加工情報を突合し、突合済み匿名加工情報を生成する匿名加工情報突合ステップと、
   前記セキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業それぞれにおいて適用されている前記加工前情報を匿名加工するための前記加工方針情報を勘案して、生成した前記突合済み匿名加工情報の匿名性が担保されているか否かを確認する匿名加工情報検査ステップと、
   を有していることを特徴とする匿名性劣化情報出力防止方法。
6. 前記匿名加工情報検査ステップは、内部に、
   突合対象とする各前記データ提供元企業の前記匿名加工情報を参照して、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの前記匿名加工情報の匿名性以上のレベルの匿名性を有しているか否かを確認する匿名性確認ステップと、
   突合対象とする各前記データ提供元企業の前記加工方針情報と前記加工前情報とを参照して、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの匿名化の加工方針を満たしているか否かを確認する加工方針確認ステップと、
   前記匿名性確認ステップと前記加工方針確認ステップとの確認結果に基づいて、前記突合済み匿名加工情報を外部システムに対して出力するかまたは破棄するかの処理を行う突合結果処理ステップと、
   を有していることを特徴とする請求項５に記載の匿名性劣化情報出力防止方法。
7. 前記匿名性確認ステップは、
   前記突合済み匿名加工情報を構成する各レコードを確認し、レコード内の情報が同一の情報になっている同一レコードの最少の個数が、突合対象とする各前記データ提供元企業それぞれの前記匿名加工情報における前記同一レコードの最少の個数以上の値になっていた場合には、
   該突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの前記匿名加工情報の匿名性以上のレベルの匿名性を有していると判断する、
   ことを特徴とする請求項６に記載の匿名性劣化情報出力防止方法。
8. 前記突合結果処理ステップは、
   前記匿名性確認ステップにおける確認結果として、前記突合済み匿名加工情報の匿名性のレベルが、突合対象とする各前記データ提供元企業それぞれの前記匿名加工情報の匿名性のレベル以上であることが確認された場合であって、
   かつ、
   前記加工方針確認ステップにおける確認結果として、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの匿名化の加工方針を満たしていることが確認された場合には、
   前記突合済み匿名加工情報を外部システムへ出力する処理を行い、
   一方、
   前記匿名性確認ステップにおける確認結果として、前記突合済み匿名加工情報の匿名性のレベルが、突合対象とする各前記データ提供元企業のいずれか１ないし複数における前記匿名加工情報の匿名性のレベル未満になっていることが確認された場合か、
   または、
   前記加工方針確認ステップにおける確認結果として、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業のいずれか１ないし複数における匿名化の加工方針を満たしていないことが確認された場合には、
   前記突合済み匿名加工情報を削除し、外部システムへは出力しない処理を行う、
   ことを特徴とする請求項６または７に記載の匿名性劣化情報出力防止方法。
9. 突合対象とする各データ提供元企業それぞれの匿名加工情報と該匿名加工情報の匿名加工前の元情報である加工前情報と前記加工前情報を前記匿名加工情報に匿名加工するための加工方針情報とを保存している匿名加工データストアとの間で通信を行う工程と、各前記データ提供元企業の前記匿名加工データストアそれぞれから取得した前記匿名加工情報を組み合わせる突合時において匿名性が劣化した情報が突合済み匿名加工情報として出力されることを防止する工程と、を有し、コンピュータにより実行される匿名性劣化情報出力防止プログラムであって、
   ハードウェアレベルにおけるセキュリティ機能を適用して第三者に傍受されることのないセキュアなメモリ空間を提供するセキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業の匿名加工情報を突合し、突合済み匿名加工情報を生成する匿名加工情報突合工程と、
   前記セキュアメモリ領域部にて動作し、突合対象とする各前記データ提供元企業それぞれにおいて適用されている前記加工前情報を匿名加工するための前記加工方針情報を勘案して、生成した前記突合済み匿名加工情報の匿名性が担保されているか否かを確認する匿名加工情報検査工程と、
   を有していることを特徴とする匿名性劣化情報出力防止プログラム。
10. 前記匿名加工情報検査工程は、内部に、
    突合対象とする各前記データ提供元企業の前記匿名加工情報を参照して、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの前記匿名加工情報の匿名性以上のレベルの匿名性を有しているか否かを確認する匿名性確認工程と、
    突合対象とする各前記データ提供元企業の前記加工方針情報と前記加工前情報とを参照して、前記突合済み匿名加工情報が、突合対象とする各前記データ提供元企業それぞれの匿名化の加工方針を満たしているか否かを確認する加工方針確認工程と、
    前記匿名性確認工程と前記加工方針確認工程との確認結果に基づいて、前記突合済み匿名加工情報を外部システムに対して出力するかまたは破棄するかの処理を行う突合結果処理工程と、
    を有していることを特徴とする請求項９に記載の匿名性劣化情報出力防止プログラム。

Images