JP2023096649A - 情報処理装置、情報処理方法、プログラム - Google Patents

Abstract

【課題】個人情報に対して効率的、かつ、適切な匿名加工・仮名加工を行うために、入力データの各属性に対して、識別子、準識別子及び機微情報が容易に判断でき、各属性に対して利用目的に応じた任意の加工方法を指示できる情報処理システム及びプログラムを提供する。【解決手段】情報処理システムは、個人情報を保存管理する個人情報管理サーバ１１０と、個人情報を含むデータを個人情報管理サーバ１１０から取得する個人情報加工装置１００と、個人情報加工装置から加工済みのデータを取得してデータ分析等を行うデータ分析端末１２０と、を備える。【選択図】図１

Description

本発明は、情報処理装置、情報処理方法、プログラムに関する。

近年、個人情報を含むデータの分析は、医療情報や交通機関の利用履歴など幅広い分野で行われている。また企業においても新たなサービスの創出や方針・戦略の立案など、様々な場面で活用されている。

個人情報を含むデータの分析に対する要求の高まりに鑑み、個人情報データの利活用を促進すべく、２０１７年に個人情報保護法が改正され匿名加工情報の制度が加わり、更に２０２０年の改正で仮名加工情報の制度が追加された。

法制度の整備に伴い、企業や組織において、匿名加工情報、仮名加工情報の適切な取り扱いが今後要求されることとなる。

特開２０１１－１１３２８５号公報

特許文献１では、入力データに対し、識別子、準識別子、重要情報に対して、利用者が重みを設定し、設定した重みに応じて有用性をできるだけ損なわないようにｋ－匿名性を保持した変換を行う技術が開示されている。

特許文献１においては、利用者が入力データの属性ごとに、識別子、準識別子、重要情報を利用者が判断して設定しなければならないという課題がある。また、利用者は重みを設定するだけで、加工方法および加工レベルを決めることができず、利用者の目的に適した加工方法を選択することができないという課題がある。

そのため、入力データの各属性に対して、識別子、準識別子、機微情報が容易に判断でき、各属性に対して利用目的に応じた任意の加工方法を指示できる技術が望まれる。

そこで、本発明は、個人情報に対して効率的かつ適切な匿名加工・仮名加工を行う技術を提供することを目的とする。

本発明の情報処理システムは、個人情報を含むデータを取得する取得手段と、
前記取得手段により取得されたデータに対して加工処理を行う加工手段と、
前記加工手段により加工されたデータを表示するよう制御する表示制御手段と、
を備えることを特徴とする。

本発明によれば、個人情報に対して効率的かつ適切な匿名加工・仮名加工を行うことが可能となる。

個人情報加工システムの構成の一例を示す図 個人情報加工装置１００、個人情報管理サーバ１１０、データ分析端末１２０として用いられる情報処理装置のハードウェア構成の一例を示すブロック図 個人情報加工ツールの画面構成を示す図 データセット一覧が表示された画面の一例 加工対象とするデータセットを新規で登録する画面の一例 加工方法などの各種設定を受け付ける画面の一例 データセットの詳細情報を表示する画面の一例 評価結果画面の一例 削除したカラムを表示する設定にした場合の画面の一例 サンプルデータを左右に並べた状態を示す図 加工済みデータの出力を行う画面の一例 加工済みデータをダウンロードする際に表示される画面の一例 同型データ加工処理の対象となるファイルの入力を受け付ける画面の一例 出力履歴の詳細を表示した画面の一例 個人情報の加工処理を示すフローチャート 初期設定画面 加工情報保存領域に保存される情報を示す図 カラム推定処理の詳細を示すフローチャート 同型データに対する個人情報加工処理を示すフローチャート 加工対象のデータの一例 カラム種別候補とカラムラベルの定義の一例 データの表示レイアウトの切り替え指示を受け付けるアイコン カラム種別と条件との対応関係を示す図 カラム種別が未設定の場合に選択できる加工方法とその説明を示す図 カラム種別が氏名の場合に選択できる加工方法とその説明を示す図 カラム種別が運転免許証番号の場合に選択できる加工方法とその説明を示す図 カラム種別がパスポート番号の場合に選択できる加工方法とその説明を示す図 カラム種別が基礎年金番号の場合に選択できる加工方法とその説明を示す図 カラム種別が住民票コードの場合に選択できる加工方法とその説明を示す図 カラム種別がマイナンバー（個人番号）の場合に選択できる加工方法とその説明を示す図 カラム種別が電子メールアドレスの場合に選択できる加工方法とその説明を示す図 カラム種別が携帯電話番号の場合に選択できる加工方法とその説明を示す図 カラム種別がクレジットカード番号の場合に選択できる加工方法とその説明を示す図 カラム種別が住所の場合に選択できる加工方法とその説明を示す図 カラム種別が郵便番号の場合に選択できる加工方法とその説明を示す図 カラム種別が年齢の場合に選択できる加工方法とその説明を示す図 カラム種別が生年月日の場合に選択できる加工方法とその説明を示す図 カラム種別が電話番号の場合に選択できる加工方法とその説明を示す図 カラム種別が組織名の場合に選択できる加工方法とその説明を示す図 カラム種別がマイナンバー（法人番号）の場合に選択できる加工方法とその説明を示す図 カラム種別が役職の場合に選択できる加工方法とその説明を示す図 カラム種別が性別の場合に選択できる加工方法とその説明を示す図 カラム種別が位置情報の場合に選択できる加工方法とその説明を示す図 カラム種別が症病名の場合に選択できる加工方法とその説明を示す図 カラム種別が罪名・刑罰名の場合に選択できる加工方法とその説明を示す図 カラム種別が健診項目の場合に選択できる加工方法とその説明を示す図 カラム種別が障害区分の場合に選択できる加工方法とその説明を示す図 カラム種別が整数の場合に選択できる加工方法とその説明を示す図 カラム種別が数値の場合に選択できる加工方法とその説明を示す図 カラム種別が日付の場合に選択できる加工方法とその説明を示す図 カラム種別が日時の場合に選択できる加工方法とその説明を示す図 カラム種別が番号の場合に選択できる加工方法とその説明を示す図 カラム種別が項目の場合に選択できる加工方法とその説明を示す図 カラム種別がテキストの場合に選択できる加工方法とその説明を示す図 カラム種別が不明の場合に選択できる加工方法とその説明を示す図

以下、図面を参照して、本発明の実施形態を詳細に説明する。

図１は、本発明の実施形態における個人情報加工システム（情報処理システム）の構成の一例を示す図である。

個人情報加工装置１００は、個人情報管理サーバ１１０およびデータ分析端末１２０とネットワーク（ＬＡＮ１３０）を介して接続される構成となっている。

個人情報管理サーバ１１０は、個人情報を保存管理しており、個人情報加工装置１００に加工元となる個人情報を提供する。個人情報加工装置１００は加工処理実施の間だけ個人情報を保持し、加工完了後は破棄する。

データ分析端末１２０は、ユーザによる操作を受け付け、各種画面を表示する端末であり、個人情報加工装置１００から加工済みのデータを取得してデータ分析等を行う。本発明の実施形態においては、加工済みデータをデータ分析目的で取得しているが、加工済みデータの利用目的は特に問わない。

なお、図１にシステム構成は一例であり、図示していない装置と通信可能に接続されていても良いし、個人情報加工装置１００、個人情報管理サーバ１１０、データ分析端末１２０の機能を１つまたは２つの装置で備えている等、その構成はいずれでも良い。

図２は、本発明の実施形態における個人情報加工装置１００、個人情報管理サーバ１１０、データ分析端末１２０として用いられる情報処理装置のハードウェア構成の一例を示すブロック図である。

図２に示すように、情報処理装置は、システムバス２００を介してＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０３、記憶装置２０４、入力コントローラ２０５、音声コントローラ２０６、ビデオコントローラ２０７、メモリコントローラ２０８、よび通信Ｉ／Ｆコントローラ２０９が接続される。

ＣＰＵ２０１は、システムバス２００に接続される各デバイスやコントローラを統括的に制御する。

ＲＯＭ２０２あるいは外部メモリ２１３は、ＣＰＵ２０１が実行する制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）やＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）や、本情報処理方法を実現するためのコンピュータ読み取り実行可能なプログラムおよび必要な各種データ（データテーブルを含む）を保持している。

ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＯＭ２０２あるいは外部メモリ２１３からＲＡＭ２０３にロードし、ロードしたプログラムを実行することで各種動作を実現する。

入力コントローラ２０５は、キーボード２１０や不図示のマウス等のポインティングデバイス等の入力装置からの入力を制御する。入力装置がタッチパネルの場合、ユーザがタッチパネルに表示されたアイコンやカーソルやボタンに合わせて押下（指等でタッチ）することにより、各種の指示を行うことができることとする。

また、タッチパネルは、マルチタッチスクリーンなどの、複数の指でタッチされた位置を検出することが可能なタッチパネルであってもよい。

ビデオコントローラ２０７は、ディスプレイ２１２などの外部出力装置への表示を制御する。ディスプレイは本体と一体になったノート型パソコンのディスプレイも含まれるものとする。なお、外部出力装置はディスプレイに限ったものははく、例えばプロジェクタであってもよい。また、前述のタッチ操作を受け付け可能な装置については、入力装置も提供する。

なおビデオコントローラ２０７は、表示制御を行うためのビデオメモリ（ＶＲＡＭ）を制御することが可能で、ビデオメモリ領域としてＲＡＭ２０３の一部を利用することもできるし、別途専用のビデオメモリを設けることも可能である。

メモリコントローラ２０８は、外部メモリ２１３へのアクセスを制御する。外部メモリとしては、ブートプログラム、各種アプリケーション、フォントデータ、ユーザファイル、編集ファイル、および各種データ等を記憶する外部記憶装置（ハードディスク）、フレキシブルディスク（ＦＤ）、或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュ（登録商標）メモリ等を利用可能である。

通信Ｉ／Ｆコントローラ２０９は、ネットワークを介して外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いた通信やＩＳＤＮなどの電話回線、および携帯電話の４Ｇ回線、５Ｇ回線等を用いた通信が可能である。

尚、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ディスプレイ２１２上での表示を可能としている。また、ＣＰＵ２０１は、ディスプレイ２１２上の不図示のマウスカーソル等でのユーザ指示を可能とする。

次に図３～図１４を用いて、本発明に係る個人情報加工ツール（以下、本ツールという）について説明する。

本ツールは、個人情報である表形式のデータについて加工処理を行うことで、匿名加工情報や仮名加工情報を生成するツールである。なお、本実施例では表形式のデータを対象とするが、ＪＳＯＮなどの形式を対象としても構わないし、単一のファイルではなく同じ書式のファイルの集合であっても構わない。またデータベースのクエリのように結果として表形式のデータが得られるものでも構わない。

匿名加工情報とは、個人情報に含まれる記述などの一部や個人識別符号を削除することによって、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものである。

仮名加工情報とは、個人情報に含まれる記述などの一部や個人識別符号を削除することによって、他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報である。

図３は本ツールの画面構成を示す図であり、アプリケーションバー３０１、メニュー３０２、コンテンツ領域３０３から構成される。

アプリケーションバー３０１には、本ツールを表示するためのアイコンやアカウント情報を表示するアイコン、選択中のデータセット名などが表示される。メニュー３０２は、本ツールが提供する機能が表示される。コンテンツ領域３０３には、本ツールによる加工対象のデータセット一覧や加工処理の結果や各種入力画面などのコンテンツが表示される。

図４はデータセット一覧が表示された画面の一例である。図４の例では、「ｓａｍｐｌｅ」という名称のデータセットが表示されている。図４に示すように、データセット名、状態（データセットに対する解析・加工の状況を示す情報）、加工種別（仮名加工または匿名加工）、更新日時が表示される。また最右列には削除アイコンが表示され、当該アイコンに対して選択操作を受けつけるとデータセットが削除される。

図５は加工対象とするデータセットを新規で登録する画面の一例であり、メニューの「新規」が選択操作されることで表示される画面である。

データセット名５０１はユーザにより入力されるデータセットの名称である。なお、入力された名称がすでに登録されたデータセットと同じ名称である場合は、その旨の通知をするなどして設定できないように制御されるものとする。

管理責任者５０２はデータセットの管理者を設定する項目であり、サインインしているアカウントが設定されるものとする。

加工種別５０３はデータセットに対する加工の種別の設定を受け付ける項目であり、匿名加工または仮名加工のいずれかの選択をユーザから受け付ける。

仮名ＩＤ生成手法５０４は仮名化の際に使用する生成手法の設定を受け付ける項目であり、「対応表」または「ハッシュ（ＨＭＡＣＳＨＡ２５６）」のいずれかの選択をユーザから受け付ける。

仮名ＩＤプレフィックス５０５は仮名ＩＤ生成手法として対応表が選択された場合に有効になる項目であり、「仮名ＩＤプレフィックス」＋「ランダムな数値」の書式で仮名化される。

ハッシュカギ更新間隔５０６はハッシュ鍵の更新間隔を日単位で受け付ける項目である。

棚卸期間５０７はデータセットの棚卸期間の設定を受け付ける項目である。加工済みデータが出力されてからここで設定された棚卸期間を経過した場合に、当該加工済みデータの出力者（利用者）に対して電子メールなどにより加工済みデータの状態の確認が行われる。

入力データファイル５０８は、加工したい（仮名加工情報や匿名加工情報に変換したい）ファイルの指定を受け付ける項目である。

上述した各項目に対して入力がなされ、追加ボタン５０９が押下されることで、加工対象のデータセットとして登録される。そして、登録されたデータセットに対してカラム種別の推測処理が行われる。カラム推測処理の詳細は後述する。

図６は加工方法などの各種設定を受け付ける画面の一例である。

図６の画面はデータセット一覧画面（図４）においてカラム推定処理が終了し設定が可能な状態のデータセットが選択されることで表示される画面である。

画面上部に表示される個人識別項目仮名ＩＤ付与６０１には、個人識別項目（後述）として設定された項目で識別した個人に対してＩＤを付与する機能について、有効にするか否か（付与するか否か）の設定を受け付け、設定内容の表示がされる。ＯＮ（付与する）とＯＦＦ（付与しない）を切り替え可能であり、ＯＮにすることで仮名ＩＤが付与される
状態６０２にはデータセットに対する解析・加工処理の状況を示す情報が表示される。

次に図６における各種設定の受付および設定内容の表示について説明する。

カラム名６０３には、加工対象のデータセットの１行目から取得した値（カラム名）が表示される。

種別６０４は、後述するカラム推測処理により推測された種別である。初期値として推測された種別が設定されるが、プルダウンでユーザが任意の種別を選択することが可能である。このようにユーザから選択を受け付けることで、推測結果の誤りを修正することができる。

加工方法６０５は、カラムのデータに対する加工方法である。初期値としては未加工が設定されるものとし、プルダウンリストの中からユーザの選択を受け付けることで任意の加工方法が設定されるものとする。プルダウンで表示される加工方法は、種別６０４で選択された種別に応じて異なるものとする。

カラム種別ごとに選択できる加工方法を図２４～図５５に示す。図２４～図５５はカラム種別（図２４であれば「未設定（カラム種別が未設定）」というカラム種別、図２５であれば「氏名」というカラム種別）毎に選択できる加工方法と当該加工方法の説明が示されている。

図２４～図５５のうち、ここでは図３４に示すカラム種別が「住所」の場合に選択できる加工方法について説明する。

図３４はカラム種別が「住所」の場合に選択できる加工方法と当該加工方法の説明が対応付けて示された図であり、選択できる加工方法として「未加工」「項目削除」「一般化（６地方区分）」「一般化（８地方区分）」「一般化（１１地方区分）」「一般化（都道府県）」「一般化（市郡）」「一般化（市区町村：東京２３区のみ）」「一般化（市区町村：政令指定都市の区を含む）」の９種類の加工方法が選択可能であることを示している。

個人識別項目６０６は、データセットに含まれるデータのうち個人を識別するためのカラムである。すなわち個人識別項目として選択されたカラムの値の組み合わせが同じ場合には、同一の個人に関するデータとして扱われる。

個人識別項目６０６はユーザの指示に基づき設定されるものであり、図６の例では、個人識別項目の列に示す丸印に対する選択操作（クリック操作やタッチ操作等）が行われることで個人識別項目として設定する旨の指示を受け付ける。指示を受け付けると当該丸印の色が変わりチェックマークが表示される。

識別子６０７はデータセットに含まれるデータのうち、単独で特定の個人を識別できる可能性のあるカラムである。

設定方法は個人識別項目６０６と同様であるが、予め識別子となる種別を登録しておき、初期値として当該種別に係るカラムを識別子として設定しても良い。

初期値として識別子が設定される種別としては、「氏名（姓・名）」「運転免許証番号」「パスポート番号」「基礎年金番号」「住民票コード」「マイナンバー（個人番号）」「電子メールアドレス」「携帯電話番号」「クレジットカード番号」などである。

準識別子６０８はデータセットに含まれるデータのうち、他のカラムと組み合わせることで特定の個人を識別できる可能性のあるカラムである。

設定方法は識別子６０７と同様であり、初期値として準識別子が設定される種別としては、「住所」「郵便番号」「年齢」「生年月日」「電話番号」「組織名」「マイナンバー（法人番号）」「役職」「性別」「位置情報」などである。

機微情報６０９は扱いに注意が必要な情報であり、クレジットカード番号やＩＤ・パスワードのように漏洩した場合に個人に損害を与える情報や、病歴、障害区分、犯罪歴などの要配慮情報などである。

設定方法は識別子６０７や準識別子６０８と同様であり、初期値として機微情報として設定される種別としては、「クレジットカード番号」「マイナンバー（個人番号）」「症病名」「罪名・刑罰名」「健診項目」「障害区分」「年収」などである。

以上の設定内容に基づきデータセットに対する加工処理が実行される。

次に図６に示す統計値について説明する。

図６に示すように統計値としてカラムごとに、「異なり数」「最大値」「最小値」「最大頻度」「最小頻度」「レコード数」「異なり数／レコード数」が表示される。

異なり数６１０はカラムに何種類のデータが存在するかを示す値である。

最大値６１１はカラムのデータのうち最大値が表示される。最小値６１２はカラムのデータのうち最小値が表示される。最大値、最小値は、数値データであるカラムについてのみ表示されるものとする。

最大頻度６１３はカラムのデータのうち出現回数が最も多いデータ（最も多く存在するデータ）の数である。

最小頻度６１４はカラムのデータのう出現回数が最も少ないデータの数である。

レコード数６１５はカラムの有効なレコード数である。

異なり数／レコード数６１６はカラムの異なり数をレコード数で割った値である。値が大きいほど個人を特定できる可能性が高くなることを意味する。

次に図７は図６のデータセット詳細ボタン６１９が押下される場合に表示されるデータセットの詳細情報を表示する画面の一例である。

図７に示す通り、データセット名、管理責任者、加工種別、個人識別項目仮名ＩＤを付与するか否か、仮名ＩＤ生成手法、仮名ＩＤプレフィックス、ハッシュ鍵更新間隔、棚卸期間、作成日時、更新日時が表示される。

次に図８に一例を示す評価結果画面について説明する。評価結果画面は、図６における評価ボタン６１７が押下されることで表示される画面である。

ｋ－匿名性８０１には、加工後のｋ－匿名性におけるｋの値が表示される。ｋ－匿名性におけるｋの値は、同一の準識別子の組み合わせに対応する個人が少なくとも何人いるかを示す値であり、ｋ≧２であれば一人に特定できない状態を意味する。しなわち、加工後のデータでは、あらゆる準識別子の組み合わせにおいて対応する個人が少なくともｋ人以上いることを示している。

ｌ－多様性８０２には、加工後のｌ－多様性におけるｌの値が表示される。ｌ－多様性におけるｌの値は、同一の準識別子の組み合わせを持つデータに対して、機微情報が少なくともいくつあるか（何パターンあるか）を示す値である。例えば、男性かつ５０代が複数人いた（すなわちｋ－匿名性が２以上である）としても、全員の症例が高血圧であればｌ－多様性は満たされず（ｌ＝１となる）、データ集合がどのようなものかを知っている者には「あの人は高血圧だ」と分かってしまうということになる。

統計情報表示領域８０３は、カラムごとの統計値について加工前後の値を表示する領域である。加工前後で値が変わっているデータは文字色やフォントやサイズなどを変えるなどにより、加工前後で変化していることを識別可能に表示される。

サンプル表示領域８０４は、加工前後のデータセットのデータが比較可能に表示される領域である。加工処理により値が変わっているデータ（項目のデータ）については、文字色やフォントやサイズなどを変えるなどにより、加工前後で変化していることを識別可能に表示される。

削除したカラムを表示８０５は、加工方法として項目削除が設定され加工により削除されたカラムについて、表示するか否かの設定を受け付け、設定内容について表示される項目である。「削除したカラムを表示機能」をＯＮにすることで、削除されたカラムが灰色等で表示される。

図９が削除したカラムを表示する設定にした場合の画面の一例である。削除されたカラムの統計値やデータについては、削除されたことが識別可能に表示されている（図９の例では灰色で表示されている）。

並び切り替えアイコン８０６は、サンプル表示領域８０４における加工前のデータと加工後のデータの並びを切り替える指示を受け付けるアイコンであり、水平方向に並べる（左右に並べる）か垂直方向に並べる（上下に並べる）かの切り替え指示を受け付けるアイコン（ボタン）である。アイコンは、サンプルデータの表示レイアウトを模式的に表したものである。

アイコンが図２２に示す（Ａ）の状態の場合は、サンプルデータを上下に並べた状態（図８や図９）であり、この状態のアイコンに対してクリック操作などの選択操作を受け付けると、図２２の（Ｂ）に示すアイコンに変わり、サンプルデータの並びが左右に並べた状態（図１０）に切り替わる。

同期スクロール８０７は、サンプル表示領域８０４における加工前のデータと加工後のデータのスクロールを同期するか否かの設定を受け付け、設定内容を表示する項目である。同期スクロール機能をＯＮにすると、加工前または加工後のどちらかのデータ表示領域についてスクロール操作をすると、他方のデータについてもスクロールして表示される。ＯＦＦにした場合は、スクロール操作を受け付けたデータ表示領域のみがスクロールする。

加工ボタン８０８が押下されると、加工対象のデータセットに対して実際に加工処理が行われる。

図１１は、加工済みデータの出力を行う画面の一例であり、メニューの「出力」が選択操作されることで表示される画面である。

図１１に示す通り加工済みデータ一覧と出力履歴とが表示される。

加工済みデータ一覧１１０１には、加工処理が行われたデータセットがリスト表示され、データセットの名称、ｋ－匿名性の値、ｌ－多様性の値、作成日が表示される。

レコードの右側にあるダウンロードアイコンに対して選択操作が行われると当該データセットをダウンロードするためのダイアログが表示される。ダイアログの一例を図１２に示す。

また、加工済みデータ一覧に表示されたデータセットに対してクリック操作等の選択操作を受け付けると、当該データセットに対応する出力履歴１１０２が表示される。出力履歴に表示されたレコードの選択を受け付けると、図１４に示す出力履歴詳細が表示される。

同型データの加工１１０３は、選択中のデータセットと同じ型のデータセットに対して、同じ加工処理を実施する指示を受け付けるボタンである。同型データ加工ボタンが押下されると図１３に示すダイアログを表示し、ここで選択されたデータファイルに対して加工処理が実行される。

図１２は加工済みデータをダウンロードする際に表示される画面の一例であり、各種情報の入力を受け付ける画面である。ダウンロードする際に各種情報の入力を受け付けるのは、仮名加工情報は個人情報であるため、いつ誰にどのデータをどのような目的で出力したのか等を管理する必要があるためである。ここで入力された情報は出力履歴として管理される。

入力される情報としては、出力データ、状態、利用者、利用形態、提供先、提供先担当者、目的などの情報である。

出力ボタン１２０１が押下されることで、加工済みのデータが出力される。

図１４は出力履歴の詳細を表示した画面の一例である。詳細情報として、状態（出力済みデータの利用状態）、利用形態、利用者（利用者名、利用者の連絡先）、提供先、提供先担当者、目的、ノート（特記事項など）、出力ファイル名（加工済みデータのファイル名）、最終確認日、出力日時、更新日時などが表示される。

次に図１５のフローチャートを用いて、本発明の実施形態における個人情報の加工処理について説明する。

図１５は、個人情報加工装置１００のＣＰＵ２０１が所定の制御プログラムを読み出して実行する処理であり、個人情報管理サーバ１１０から取得した個人情報を含んだ表形式のデータを匿名加工または仮名加工する処理を示すフローチャートである。

本発明の実施例においては、表形式のデータを対象とするが、ＪＳＯＮなどの形式を対象としても構わないし、単一のファイルではなく同じ書式のファイルの集合であっても構わない。またデータベースのクエリのように結果として表形式のデータが得られるものでも構わない。

ステップＳ１５０１では、図１６に示すような初期設定画面を表示して、設定を識別する設定名１６０１と加工種別１６０２（「仮名加工」または「匿名加工」）を取得する。

ステップＳ１５０２では、個人情報管理サーバ１１０から処理対象となる個人情報含んだ表形式のデータを取得する。

ここでは、図１６の初期設定画面において設定名と加工種別を設定し、個人情報管理サーバ１１０から処理対象となるデータを取得する構成としているが、上述した通り、図５の画面を用いて処理対象のデータと加工方法等を受け付ける構成でも良い。

ステップＳ１５０３では、ステップＳ１５０２で取得した表形式データの全てのカラムに対して、カラム種別の推定を行う。カラム推定処理の詳細については図１８のフローチャートを用いて後述する。

ステップＳ１５０４では、ステップＳ１５０３で推定したカラム種別に対して予め定められた個人情報属性と加工方法を取得し、加工設定における初期値として各カラムに設定する。

ステップＳ１５０５では、ステップＳ１５０４で初期値を設定した加工設定を図６に示すような設定画面を表示して利用者に個人情報属性と加工方法の確認と変更を促す。

本実施例において、カラム種別に応じて予め用意された典型的な加工方法（図２４～図５５）の中から選択するように構成しているが、詳細な設定を可能とするように構成してもよい。また、k－匿名性等の評価値が所定の条件を満たす値になるような加工方法を提示したり、所定の条件を満たす値にならない加工方法については選択できないように制御しても良い。

設定画面においては、評価ボタン６１７を押下すると、加工設定をＳ１５０１で取得した設定とともに、図１７に示す加工情報保存領域における加工設定保存テーブル１７０１に保存し、ステップＳ１５０６に処理を移す。終了ボタン６１８が押下された場合は処理を終了する。

ステップＳ１５０６では、ステップＳ１５０５で確認された加工設定に従って加工を実施した場合のｋ値（ｋ－匿名性）やｌ値（ｌ－多様性）など匿名性を評価可能な値や、カラムごとの加工前後の統計値を求め、図８に示すような評価画面に表示する。

ステップＳ１５０７では、評価画面において、加工ボタンが押下された場合はステップＳ１５０８に処理を移す。キャンセルボタンが押下された場合は、ステップＳ１５０５に処理を移す。

ステップＳ１５０８では、処理対象データに対して、Ｓ１５０５で設定した加工設定に従った加工を実施する。

ステップＳ１５０９では、ステップＳ１５０１で設定した加工種別が「仮名加工」であった場合、ステップＳ１５１０に処理を移す。加工種別が「匿名加工」であった場合、ステップＳ１５１１に処理を移す。

ステップＳ１５１０では、加工時に生成された加工情報を設定と関連付けて加工情報保存領域３０３における加工情報保存テーブル６０２に保存する。

加工情報としては、加工方法としてハッシュ化を用いた際のパラメータや対応表などが該当する。

ステップＳ１５１１では、加工結果である仮名加工情報または匿名加工情報を、加工情報保存領域における加工結果保存テーブル１７０３に保存する。

カラム推定処理
次に図１８のフローチャートを用いて、本発明の実施形態におけるカラム推定処理について説明する。

ステップＳ１８０１では、処理対象とする個人情報含んだ表形式のデータにおけるカラムに対して、ステップＳ１８０７までの繰り返し処理を開始する。

ステップＳ１８０２では、予め定義されているカラム種別（図２３）に対して、ステップＳ１８０４までの繰り返し処理を開始する。

ステップＳ１８０３では、処理対象のカラムの各行に対して、処理対象のカラム種別に定義された条件に合致するかを判断し、合致した行数をカウントする。

ステップＳ１８０４では、処理対象となるカラム種別がまだあれば、ステップＳ１８０２からの繰り返し処理を実施する。処理対象となるカラム種別がなければ、ステップＳ１８０５に処理を移す。

ステップＳ１８０５では、カラム種別のうち合致した行数が最大であったカラム種別を、処理対象のカラムのカラム種別候補とする。すなわち、最もカラム種別として適切である種別を、カラム種別候補とする。

合致行数が最大のカラム種別であっても、カラムにおいて占める割合が規定値未満である場合はカラム種別候補としないよう構成してもよい。

ステップＳ１８０６では、カラム種別候補とカラムラベル（カラム名）の組み合わせが、予め定義された組み合わせに合致すれば、関連付けられているカラム種別を処理対象のカラムのカラム種別とする。合致しなければ、ステップＳ１８０５で取得したカラム種別候補をカラム種別とする。

カラム種別候補とカラムラベルの定義の一例を図２１に示す。図２１に示すように、カラム種別候補２１０１とカラムラベル２１０２との組み合わせに対して、カラム種別２１０３が対応付けて登録されている。

ステップＳ１８０７では、処理対象となるカラムがまだあれば、ステップＳ１８０１からの繰り返し処理を実施する。処理対象となるカラムがなければ、処理を終了する。

ここで図２３に示す予め定義されたカラム種別について説明する。

図２３に示す通り、カラム種別２３０１と条件２３０２とが対応付けて定義されている。条件については、単語（辞書）を登録しておきカラムの各行の値と登録された単語が一致するか否か評価（判定）するもの（図２３の例では、カラム種別が「人名」「地名」「性別」の条件が該当する）や、正規表現を用いて判定するもの（図２３の例では、カラム種別が「郵便番号」「日付」の条件が該当する）、値の範囲が指定されているもの（図２３の例ではカラム種別が「体重」の条件が該当する）などがある。このほかにも桁数や文字数を条件として定義しても良い。

図２３のカラム種別は一例であり、この他の種別が登録されていても構わない（例えば図２４～図５５に示すカラム種別）。また条件についても一例である。

また、カラムの各行それぞれについて条件に合致するかを判定し最大行数に合致したカラム種別をカラム種別候補とする方法ではなく、カラムの各行の値の平均や分散などを条件として定義し平均や分散が当該条件に合致するかを評価することで、最も適切なカラム種別候補を特定しても良い。

また、テキストの長さや値の異なり数に基づき、自由書式であるか否かを特定することも可能である。

以上のように本実施例においては、処理対象のカラムのカラム種別については、予め登録されたカラム種別（図２３）のうち最も適したカラム種別を特定し（特定されたカラム種別をカラム種別候補とする）、特定されたカラム種別候補と処理対象のカラムのカラムラベルとの組み合わせに基づき、当該カラムのカラム種別を決定する。具体的には、特定されたカラム種別候補と処理対象のカラムのカラムラベルとの組み合わせが図２１に示す定義に登録されている場合は、特定されたカラム種別候補と処理対象のカラムのカラムラベルとの組み合わせに対応付けられたカラム種別を当該カラムのカラム種別として決定する。

また、特定されたカラム種別候補と処理対象のカラムのカラムラベルとの組み合わせが図２１の定義に登録されていない場合は、当該特定されたカラム種別候補を、当該カラムのカラム種別として決定する。

同型データの個人情報加工処理
次に図１９のフローチャートを用いて、本発明の実施形態における同型データに対する個人情報加工処理について説明する。

ステップＳ１９０１では、加工設定保存テーブル１７０１から利用者の指定する設定を取得する。

ステップＳ１９０２では、個人情報管理サーバから、ステップＳ１９０１で取得した設定と同形式の表形式データを処理対象として取得する。「同形式」とはカラムの構成が等しく、各カラムの形式も等しいものを示す。

なおここでは、ユーザから設定の指定を受け付け、当該設定と同形式の表形式データを処理対象として取得する構成を例に説明しているが、図１１、図１３を用いて上述した通り、ユーザにより加工済みデータセットの選択を受け付け、当該データセットと同型データセットの入力を受け付けることで、処理対象のデータセットを取得しても良い。

ステップＳ１９０３では、加工情報保存テーブル１７０２から、ステップＳ１９０１で取得した設定に紐づいた加工情報を取得する。加工種別が「匿名加工」の場合は、ステップＳ１５１０を実行していないことから加工情報がないので新規の加工情報を生成する。

ステップＳ１９０４では、取得した加工方法、加工情報に基づいて、ステップＳ１５０６と同様の評価を行い、評価結果を図８に示すような評価画面に表示する。

ステップＳ１９０５では、評価画面において、加工ボタンが押下された場合は処理をステップＳ１９０６に移す。キャンセルボタンが押下された場合は、処理をステップＳ１９０４に処理を移す。

評価は、設定に紐づいた加工結果保存テーブル１７０３の加工済みデータを含めて行うように構成しても構わない。

ステップＳ１９０６では、処理対象データに対して、加工設定に従った加工を実施する。

ステップＳ１９０７では、ステップＳ１９０１で取得した設定の加工種別が「仮名加工」であった場合、ステップＳ１９０８に処理を移す。加工種別が「匿名加工」であった場合、ステップＳ１９０９に処理を移す。

ステップＳ１９０８では、加工時に更新された加工情報を加工情報保存領域３０３における加工情報保存テーブル１７０２に反映する。

ステップＳ１９０９では、加工済みデータを加工情報保存領域３０３における加工結果保存テーブル１７０３に保存する。

利用者が加工済みデータを利用する場合は、加工結果保存テーブル１７０３から指定した加工済みデータを取得して利用する。

個人情報加工処理具体例
次に個人情報加工処理の具体例として、図２０に示す表形式のデータ２００１に対して、図１５に示す個人情報加工処理が実施された場合について説明する。

ステップＳ１５０１では、図１６に示すような初期設定画面から、設定名「購買８月」と加工種別「仮名加工」を取得したとする。

ステップＳ１５０２では、個人情報管理サーバから処理対象として図２０に示す表形式データ２００１を取得する。

ステップＳ１５０３では、ステップＳ１５０２で取得した表形式データ２００１に対して図１８に示したカラム種別の推定処理を行う。

ステップＳ１８０１では、表形式データ２００１における最初のカラム２００２（「姓」）に対して、ステップＳ１８０７までの繰り返し処理を開始する。

ステップＳ１８０２では、予め定義されているカラム種別「人名」に対して、ステップＳ１８０４までの繰り返し処理を開始する。

ステップＳ１８０３では、処理対象のカラム２００２の各行に対して、カラム種別「人名」に定義された条件に合致するかを判断する。人名の判断（条件）は予め用意された辞書に基づくものとする。カラム１１０２においては「佐藤」「高橋」「鈴木」「田中」「福岡」が辞書にあり合致したものとする。結果としてカラム種別「人名」のカウントは５となる。

ステップＳ１８０４では、次のカラム種別「地名」があるとすると、ステップＳ１８０２に処理を戻す。

ステップＳ１８０２では、カラム種別「地名」に対して、ステップＳ１８０４までの繰り返し処理を開始する。

ステップＳ１８０３では、処理対象のカラム１１０２の各行に対して、カラム種別「地名」に定義された条件に合致するかを判断する。地名の判断も予め用意された辞書に基づくものとする。カラム１１０２においては「福岡」が辞書にあり合致したものとする。結果としてカラム種別「地名」のカウントは１となる。

以下、同様に定義されているカラム種別に対してＳ１８０２からＳ１８０４同様の処理を繰り返す。

ステップＳ１８０５では、行数をカウントしたカラム種別のうち最大数であったカラム種別「人名」をカラム２００２のカラム種別候補とする。

ステップＳ１８０６では、カラム種別候補「人名」とカラムのラベル「姓」の組み合わせが、予め定義された組み合わせ（図２１）に合致しないので、カラム２００２のカラム種別を「人名」とする。

ステップＳ１８０７では、処理対象となるカラム２００３がまだあるので、ステップＳ１８０１からの繰り返し処理を実施する。

カラム２００３およびカラム２００４に対して同様の処理を実施して、それぞれのカラム種別を「人名」「性別」とする。

カラム２００５に対しても同様に、ステップＳ１８０１からＳ１８０５までの処理を実施し、カラム２００５のカラム種別候補として「日付」を得る。

ステップＳ１８０６では、カラム種別候補「日付」とカラムのラベル「生年月日」の組み合わせが、予め定義された組み合わせ（図２１）の２１０２に合致するので、定義２１０１からカラム２００５のカラム種別を「生年月日」とする。

以下、同様の処理を繰り返す、全てのカラムに対してカラム種別を推定する。

ステップＳ１５０４では、ステップＳ１５０３で推定したカラム種別に対して予め定められた個人情報属性と加工方法を取得し、加工設定における初期値として各カラムに設定する。

表形式データ２１０１においては、カラム「姓」「名」に対しては「識別子」が、カラム「性別」「生年月日」「住所」に対しては「準識別子」が、「年収（万円）」に対しては「機微情報」が、個人情報属性として付与される。

ステップＳ１５０５では、ステップＳ１５０４で初期値を設定した加工設定を図８に示すような設定画面を表示して作業者に個人情報属性と加工方法の確認と変更を促す。

以降の処理については省略する。

結果として、「姓」「名」「性別」「生年月日」「住所」に対して、適切な加工を施すべき必要があることが容易に判断できるようになる。更に、各カラムに対して任意の加工方法を選択することが可能であり、評価を繰り返すことで適切な範囲で目的に合った加工方法を検討することが可能となる。

また、加工情報の保存（ステップＳ１５１０）は仮名加工の場合にのみなされ、匿名加工の場合は加工結果から再識別ができないようになる。一方、仮名加工の場合は、加工情報を利用することで、月次データなど同形式のデータを随時加工する場合でも、加工済みデータからの個人の特定は避けつつも同一性を維持し利便性を高めることが可能となる。

加工情報は利用者が容易に取得できない構成となっており、利用者が安易に再識別を行ってしまうこともなく、定期的に加工情報をリセット（削除）すれば更に安全性を高めることが可能となる。

本発明は、例えば、システム、装置、方法、プログラムもしくは記録媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

また、本発明におけるプログラムは、図１５、図１８、図１９に示すフローチャートの処理方法をコンピュータが実行可能なプログラムであり、本発明の記憶媒体は図１５、図１８、図１９の処理方法をコンピュータが実行可能なプログラムが記憶されている。なお、本発明におけるプログラムは図１５、図１８、図１９の各装置の処理方法ごとのプログラムであってもよい。

以上のように、前述した実施形態の機能を実現するプログラムを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムを読み出し、実行することによっても本発明の目的が達成されることは言うまでもない。

この場合、記録媒体から読み出されたプログラム自体が本発明の新規な機能を実現することになり、そのプログラムを記録した記録媒体は本発明を構成することになる。

プログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＤＶＤ－ＲＯＭ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＥＥＰＲＯＭ、シリコンディスク等を用いることが出来る。

また、コンピュータが読み出したプログラムを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

また、本発明は、複数の機器から構成されるシステムに適用しても、ひとつの機器から成る装置に適用しても良い。また、本発明は、システムあるいは装置にプログラムを供給することによって達成される場合にも適応できることは言うまでもない。この場合、本発明を達成するためのプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

さらに、本発明を達成するためのプログラムをネットワーク上のサーバ、データベース等から通信プログラムによりダウンロードして読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。なお、上述した各実施形態およびその変形例を組み合わせた構成も全て本発明に含まれるものである。

１００ 個人情報加工装置
１１０ 個人情報管理サーバ
１２０ データ分析端末１２０
１３０ ＬＡＮ

Claims (26)

1. 個人情報を含むデータを取得する取得手段と、
   前記取得手段により取得されたデータに対して加工処理を行う加工手段と、
   前記加工手段により加工されたデータを表示するよう制御する表示制御手段と、
   を備えることを特徴とする情報処理システム。
2. 前記表示制御手段は、前記加工されたデータの匿名性を示す値を表示するよう制御することを特徴とする請求項１に記載の情報処理システム。
3. 前記表示制御手段は、前記加工されたデータの多様性を示す値を表示するよう制御することを特徴とする請求項１または２に記載の情報処理システム。
4. 前記表示制御手段は、前記加工手段による加工前のデータと加工後のデータとを比較可能に表示するよう制御することを特徴とする請求項１乃至３のいずれか１項に記載の情報処理システム。
5. 前記表示制御手段は、前記データのうち前記加工手段による加工処理によって変換された値を識別可能に表示するよう制御することを特徴とする請求項１乃至４のいずれか１項に記載の情報処理システム。
6. 前記表示制御手段は、前記データのうち前記加工手段による加工処理によって削除された値を識別可能に表示するよう制御することを特徴とする請求項１乃至５のいずれか１項に記載の情報処理システム。
7. 前記加工手段による加工処理によって削除されたデータを表示するか否かの指示を受け付ける受付手段を備え、
   前記表示制御手段は、前記受付手段により前記削除されたデータを表示する旨の指示を受け付けた場合、当該データを識別可能に表示するよう制御することを特徴とする請求項１乃至６のいずれか１項に記載の情報処理システム。
8. 前記表示制御手段は、前記加工手段による加工前のデータの統計値と加工後のデータの統計値とを比較可能に表示するよう制御することを特徴とする請求項１乃至７のいずれか１項に記載の情報処理システム。
9. 前記統計値は、異なり数、最大値、最小値、最大頻度、最小頻度、レコード数、異なり数／レコード数の少なくとも１つを含むことを特徴とする請求項８に記載の情報処理システム。
10. 前記データを構成するカラムの種別を決定する決定手段を備えることを特徴とする請求項１乃至９のいずれか１項に記載の情報処理システム。
11. 前記決定手段は、予め登録されたカラム種別から特定されたカラム種別候補と、処理対象のカラムのカラム名との組み合わせに基づき、当該カラムのカラム種別を決定することを特徴とする請求項１０に記載の情報処理システム。
12. 前記決定手段は、予め登録されたカラム種別から特定されたカラム種別候補と、処理対象のカラムのカラム名との組み合わせが、予め登録された組み合わせである場合、当該組み合わせに対応付けられたカラム種別を、当該カラムのカラム種別として決定することを特徴とする請求項１０または１１に記載の情報処理システム。
13. 前記決定手段は、予め登録されたカラム種別から特定されたカラム種別候補と、処理対象のカラム名との組み合わせが、予め登録された組み合わせではない場合、前記カラム種別候補を当該カラムのカラム種別として決定することを特徴とする請求項１０乃至１２のいずれか１項に記載の情報処理システム。
14. 前記決定手段により決定されたカラム種別の修正を受け付ける修正受付手段を備えることを特徴とする請求項１０乃至１３のいずれか１項に記載の情報処理システム。
15. 前記カラムのデータに対する加工方法の選択を受け付ける選択受付手段を備え、
    前記加工手段は、前記選択受付手段により選択を受け付けた加工方法で、当該カラムのデータを加工することを特徴とする請求項１０乃至１４のいずれか１項に記載の情報処理システム。
16. 前記選択受付手段は、前記カラムのカラム種別により特定される加工方法の中から選択を受け付けることを特徴とする請求項１５に記載の情報処理システム。
17. 前記データにおけるカラムのうち、単独で特定の個人を識別できるカラムおよび他の項目との組み合わせで特定の個人を識別できるカラムの選択を受け付けるカラム選択受付手段を備えることを特徴とする請求項１０乃至１６のいずれか１項に記載の情報処理システム。
18. 前記表示制御手段は、前記他の項目との組み合わせで特定の個人を識別できるカラムの組み合わせに対応する個人のパターン数である匿名性を示す値を表示するよう制御することを特徴とする請求項１７に記載の情報処理装置。
19. 前記カラム選択受付手段は、前記データにおけるカラムのうち機微情報となるカラムの選択を受け付けることを特徴とする請求項１７または１８に記載の情報処理システム。
20. 前記表示制御手段は、前記他の項目との組み合わせで特定の個人を識別できるカラムの組み合わせに対する機微情報のパターン数である多様性を示す値を表示するよう制御することを特徴とする請求項１９に記載の情報処理システム。
21. 前記加工手段により加工されたデータを出力する指示を受け付ける出力指示受付手段と、
    前記出力指示受付手段により出力指示を受け付けたデータを出力する出力手段を備えることを特徴とする請求項１乃至２０のいずれか１項に記載の情報処理システム。
22. 前記出力指示受付手段により出力指示を受け付けた場合、当該出力指示を受け付けたデータの利用に係る情報の入力を受け付ける入力受付手段を備えることを特徴とする請求項２１に記載の情報処理システム。
23. 前記利用に係る情報は、利用者の連絡先、利用形態、提供先、提供先担当者、目的のいずれか１つを含むことを特徴とする請求項２２に記載の情報処理システム。
24. 前記利用に係る情報は当該データを利用するユーザの連絡先を含み、
    前記出力手段により出力されるデータについて棚卸期間を設定する設定手段と、
    前記設定手段により設定された棚卸期間が経過した場合、当該データを利用するユーザの連絡先に対して通知する通知手段と、
    を備えることを特徴とする請求項２２または２３に記載の情報処理システム。
25. 情報処理システムの取得手段が、個人情報を含むデータを取得する取得工程と、
    前記情報処理システムの加工手段が、前記取得工程により取得されたデータに対して加工処理を行う加工工程と、
    前記情報処理システムの表示制御手段が、前記加工工程により加工されたデータを表示するよう制御する表示制御工程と、
    を備えることを特徴とする情報処理方法。
26. コンピュータを請求項１乃至２４に記載の情報処理システムの各手段として機能させるためのプログラム。

Images