JP4956455B2 - 情報管理装置、プログラム及び情報管理方法。 - Google Patents

Description

本発明は、個人情報を安全に管理する技術に関する。

プライバシ保護への社会的要請が高まっている昨今、個人情報を扱う企業の情報システムにおいてはプライバシへの配慮が不可欠となってきた。この点、個人情報を第三者に提供する場合には、個人情報を匿名化することが望ましい。

個人情報匿名化の典型的な手段は、当該個人情報から個人を識別可能な情報を取り除くこと、あるいは識別可能な情報を曖昧にすることである。前者の例としては氏名や住所を取り除く処理が、後者の例としては住所を都道府県単位に変換する、年齢を１０歳刻みに変換する等の処理が該当する。

但し、このような匿名化処理を行っても、当該個人に関して他に入手できる情報と照合することにより、匿名化された個人情報から特定個人を識別できる場合がありえる。すなわち、例え正確な名前や住所が開示されていなくとも、匿名個人情報を構成する性別、年令等の変数（項目）の組み合わせにより個人を識別できる可能性がある。そのため個人情報の匿名化に際しては、このような識別リスクの観点から安全性を考慮することが望ましい。

非特許文献１には、１人分の個人情報が複数の項目からなる１件のレコードデータとして表現されるレコード集合を対象として、レコードのそれぞれが有する、識別リスクが低い変数の組み合わせ（安全変数群）を決定する技術が開示されている。

佐藤嘉則、川崎明彦、「識別リスクを保証する個人情報匿名化システムの検討」、情報処理学会シンポジウムシリーズ、Vol.2007、No.1、「マルチメディア，分散，協調とモバイル(DICOMO2007)シンポジウム論文集」、pp.1182-1189、2007年6年29日発行

非特許文献１に記載された技術では、あるレコードにおける一組の変数組、すなわち変数値の組が、安全かどうかを判定するために、変数値組が個人情報を構成するレコード集合全体で何件存在するかを数え上げる処理を実行している。

そして、非特許文献１に記載の技術では、個人情報が格納されているデータベースが更新されると、匿名化個人情報の識別リスクを保証するために、データベースの更新にあわせて安全変数群の特定処理を全てやり直す必要があり、データベースに格納されているデータ数によっては、演算負荷が非常にかかり不便であった。

そこで、本発明は、個人情報を格納したデータベースに変更が生じた場合に、効率的に識別リスクを回避することのできる安全な情報（変数値）を特定することのできる技術を提供することを目的とする。

以上の課題を解決するため、本発明は、データベースに変更が生じた場合に、変更された情報に関連する個人情報から安全変数値群を抽出する。

例えば、本発明は、１以上の項目に対応する情報を格納した個人情報を１レコードとする個人情報テーブルと、前記項目毎に、同じ情報が格納されている前記個人情報の数が予め定められた数以上である情報を安全情報として、前記個人情報毎に１レコードに格納した安全情報群テーブルと、を記憶する記憶部と、制御部と、を有する情報管理装置であって、前記制御部は、前記個人情報テーブルの更新が行われた場合に、更新後の情報が格納されている個人情報を特定する処理と、特定された個人情報において、項目毎に、変更後の情報と同じ情報が格納されている数を集計する処理と、集計した数が、前記予め定められた数以上である場合に、変更後の情報を安全情報として、前記安全情報群テーブルに格納する処理と、を行うこと、を特徴とする。

以上のように、本発明によれば、個人情報を格納したデータベースに変更が生じた場合に、効率的に識別リスクを回避することのできる安全な情報（変数値）を特定することができる。

図１は、本発明の第一の実施形態である情報システム１００の概略図である。

図示するように、情報システム１００は、個人情報管理装置１１０と、情報端末１４０と、を備え、これらは、ネットワーク１５０を介して、相互に情報の送受信を行うことができるようにされている。

図２は、個人情報管理装置１１０の概略図である。

図示するように、個人情報管理装置１１０は、記憶部１１１と、制御部１２０と、入力部１２５と、出力部１２６と、送受信部１２７と、を備える。

記憶部１１１は、個人情報記憶領域１１２と、安全変数値群更新時個人情報記憶領域１１３と、安全変数値群抽出パラメータ記憶領域１１４と、安全変数値群記憶領域１１５と、更新状況管理情報記憶領域１１６と、匿名化条件情報記憶領域１１７と、匿名個人情報記憶領域１１８と、匿名化実行日時管理情報記憶領域１１９と、を備える。

個人情報記憶領域１１２には、情報システム１００において管理する個人情報が記憶される。

例えば、本実施形態においては、図３（個人情報テーブル１１２ａの概略図）に示すような個人情報テーブル１１２ａが個人情報記憶領域１１２に記憶される。

図示するように、個人情報テーブル１１２ａは、ＩＤフィールド１１２ｂと、性別フィールド１１２ｃと、年令フィールド１１２ｄと、郵便番号フィールド１１２ｅと、来店頻度フィールド１１２ｆと、来店日フィールド１１２ｇと、購入額フィールド１１２ｈと、を備え、各レコードに各フィールドで特定される項目に対応する情報を格納することで、レコード毎に各個人の個人情報が格納されるようになっている。

ＩＤフィールド１１２ｂには、各レコード（各個人）を識別するための識別情報が格納される。ここで、本実施形態においては、個人情報テーブル１１２ａの上から順番に、「１」から連番となるような自然数を各レコードに割り振っているが、このような形態に限定されるわけではない。

性別フィールド１１２ｃには、各個人の性別を特定する情報が格納される。

年令フィールド１１２ｄには、各個人の年令を特定する情報が格納される。

郵便番号フィールド１１２ｅには、各個人の住所の郵便番号を特定する情報が格納される。

来店頻度フィールド１１２ｆには、各個人の来店頻度を特定する情報が格納される。ここで、来店頻度は、特定の期間における特定の店舗の来店回数であってもよく、また、特定の期間における特定の店舗の来店回数から特定の法則で割り出される値であってもよい。

来店日フィールド１１２ｇには、各個人が最後に特定の店舗に来店した年月日を特定する情報が格納される。

購入額欄１１２ｈには、各個人が特定の店舗で購入した品物の購入金額を特定する情報が格納される。ここで、購入額は、特定の期間における品物の購入金額の合計であってもよく、また、特定の店舗で最後に購入した品物の購入金額であってもよい。

図２に戻り、安全変数値群更新時個人情報記憶領域１１３には、後述する安全変数値群抽出部１１２が、安全変数値群を抽出する際に使用した個人情報テーブルが記憶される。

なお、安全変数値群更新時個人情報記憶領域１１３に記憶される個人情報テーブルは、図３に示す個人情報テーブル１１２ａと同様のフィールドを有するが、各レコードに格納される情報は、後述する安全変数値群抽出部１１２が安全変数値群を抽出する際に格納されていた情報である。

安全変数値群抽出パラメータ記憶領域１１４には、後述する安全変数値群抽出部１１２が安全変数値群を抽出する際のしきい値となるパラメータを特定する情報が格納される。

例えば、本実施形態においては、図４（安全変数値群抽出パラメータテーブル１１４ａの概略図）に示すような安全変数値群抽出パラメータテーブル１１４ａが安全変数値群抽出パラメータ記憶領域１１４に記憶される。

図示するように、安全変数値群抽出パラメータテーブル１１４ａは、パラメータフィールド１１４ｂを有し、後述する後述する安全変数値群抽出部１１２が安全変数値群を抽出する際のしきい値となるパラメータが格納される。なお、このパラメータについては、個人情報管理装置１１０のオペレータが、入力部１２５を介して、適切な値を格納しておけばよい。

図２に戻り、安全変数値群記憶領域１１５には、個人情報記憶領域１１２に記憶されている個人情報のうち、後述する後述する安全変数値群抽出部１１２が安全な変数値であると判断した変数値を特定する情報が格納される。

例えば、本実施形態においては、図５（安全変数値群テーブル１１５ａの概略図）に示すような安全変数値群テーブル１１５ａが安全変数値群記憶領域１１５に記憶される。

図示するように、安全変数値群テーブル１１５ａは、ＩＤフィールド１１５ｂと、安全変数値群フィールド１１５ｃと、を備える。

ＩＤフィールド１１５ｂには、図３に示す個人情報テーブル１１２ａの各レコードに割り振られたＩＤを特定する情報が格納される。

安全変数値群フィールド１１５ｃには、ＩＤフィールド１１５ｂで特定される個人情報テーブル１１２ａのレコードに格納されている変数値のうち、後述する安全変数値群抽出部１２２が安全な変数値であると判断した変数値名（フィールド名）及び変数値を特定する情報が格納される。

図２に戻り、更新状況管理情報記憶領域１１６には、個人情報テーブル１１２ａを更新した時と、安全変数値群テーブル１１５ａを更新した時と、を特定する情報が記憶される。

例えば、本実施形態においては、図６（更新状況管理テーブル１１６ａの概略図）に示すような更新状況管理テーブル１１６ａが更新状況管理情報記憶領域１１６に記憶される。

図示するように、更新状況管理テーブル１１６ａは、ＩＤフィールド１１６ｂと、レコード更新日時フィールド１１６ｃと、安全変数値群更新日時フィールド１１６ｄと、更新種別フィールド１１６ｅと、を備える。

ＩＤフィールド１１６ｂには、個人情報テーブル１１２ａ及び安全変数値群テーブル１１５ａの各レコードに割り振られたＩＤを特定する情報が格納される。

レコード更新日時フィールド１１６ｃには、ＩＤフィールド１１６ｂで特定される個人情報テーブル１１２ａのレコードが更新された年月日時間を特定する情報が格納される。

安全変数値群更新日時フィールド１１６ｄと、ＩＤフィールド１１６ｂで特定される安全変数値群テーブル１１５ａのレコードが更新された年月日時間を特定する情報が格納される。

更新種別フィールド１１６ｅには、ＩＤフィールド１１６ｂで特定される個人情報テーブル１１２ａのレコードが更新された際の、更新種別を特定する情報が格納される。ここで、本実施形態では、更新種別としてレコードの「追加」及びレコードの「変更」の何れか一方が格納される。

図２に戻り、匿名化条件情報記憶領域１１７には、個人情報記憶領域１１２に記憶されている個人情報を匿名化する条件を特定する情報が記憶される。

例えば、本実施形態においては、図７（匿名化条件テーブル１１７ａの概略図）に示すような匿名化条件テーブル１１７ａが匿名化条件情報記憶領域１１７に記憶される。

図示するように、匿名化条件テーブル１１７ａは、性別フィールド１１７ｂと、年令フィールド１１７ｃと、郵便番号フィールド１１７ｄと、来店頻度フィールド１１７ｅと、来店日フィールド１１７ｆと、購入額フィールド１１７ｇと、を備える。

性別フィールド１１７ｂには、個人情報テーブル１１２ａの性別フィールド１１２ｃに格納された情報を匿名化する条件（方法）を特定する情報が格納される。例えば、ここでは、個人情報テーブル１１２ａの性別フィールド１１２ｃに格納された情報（男性又は女性）を性別不明に変換するようにしている。

年令フィールド１１７ｃには、個人情報テーブル１１２ａの年令フィールド１１２ｄに格納された情報を匿名化する条件（方法）を特定する情報が格納される。例えば、ここでは、個人情報テーブル１１２ａの年令フィールド１１２ｄに格納された情報（年令）を１０歳刻み（例えば、３０〜３９歳までの年令を３０歳に変換）にするようにしている。

郵便番号フィールド１１７ｄには、個人情報テーブル１１２ａの郵便番号フィールド１１２ｅに格納された情報を匿名化する条件（方法）を特定する情報が格納される。例えば、ここでは、個人情報テーブル１１２ａの郵便番号フィールド１１２ｅに格納された情報の上位３桁だけを残すように変換するようにしている。

来店頻度フィールド１１７ｅには、個人情報テーブル１１２ａの来店頻度フィールド１１２ｆに格納された情報を匿名化する条件（方法）を特定する情報が格納される。例えば、ここでは、個人情報テーブル１１２ａの来店頻度フィールド１１２ｆに格納された情報を１０以上又は１０以下の何れか一方に振り分けるようにしている。

来店日フィールド１１７ｆには、個人情報テーブル１１２ａの来店日フィールド１１２ｇに格納された情報を匿名化する条件（方法）を特定する情報が格納される。例えば、ここでは、個人情報テーブル１１２ａの来店日フィールド１１２ｇに格納された情報（年月日）を年と月のみに変換するようにしている。

購入額フィールド１１７ｇには、個人情報テーブル１１２ａの購入額フィールド１１２ｈに格納された情報を匿名化する条件（方法）を特定する情報が格納される。例えば、ここでは、個人情報テーブル１１２ａの購入額フィールド１１２ｈに格納された情報を１０００円刻みに変換するようにしている。

図２に戻り、匿名個人情報記憶領域１１８には、匿名化した個人情報を特定する情報が格納される。

例えば、本実施形態においては、図８（匿名個人情報テーブル１１８ａの概略図）に示すような匿名個人情報テーブル１１８ａが匿名個人情報記憶領域１１８に記憶される。

図示するように、匿名個人情報テーブル１１８ａは、ＩＤフィールド１１８ｂと、性別フィールド１１８ｃと、年令フィールド１１８ｄと、郵便番号フィールド１１８ｅと、来店頻度フィールド１１８ｆと、来店日フィールド１１８ｇと、購入額フィールド１１８ｈと、を備え、各レコードには、個人情報記憶領域１１２に記憶されている個人情報テーブル１１２ａの対応するレコードに格納されている情報のうち、後述する安全変数値群抽出部１２２が安全と判断した変数値と、後述する安全変数値群抽出部１２２が安全ではないと判断した変数値を匿名化条件テーブル１１７ａに基づいて匿名化した匿名変数値と、が格納される。

図２に戻り、匿名化実行日時管理情報記憶領域１１９には、個人情報記憶領域１１２に記憶されている個人情報を匿名化した時を特定する情報が格納される。

例えば、本実施形態においては、図９（匿名化実行日時テーブル１１９ａの概略図）に示すような匿名化実行日時テーブル１１９ａが匿名化実行日時管理情報記憶領域１１９に記憶される。

図示するように、匿名化実行日時テーブル１１９ａは、ＩＤフィールド１１９ｂと、匿名化日時フィールド１１９ｃと、を備える。

ＩＤフィールド１１９ｂには、個人情報テーブル１１２ａの各レコードに割り振られたＩＤに対応する情報が格納される。

匿名化日時フィールド１１９ｃには、ＩＤフィールド１１９ｂで特定される個人情報テーブル１１２ａのレコードに格納された変数値を匿名化した年月日時間を特定する情報が格納される。

図２に戻り、制御部１２０は、情報処理部１２１と、安全変数値群抽出部１２２と、更新情報管理部１２３と、匿名化処理部１２４と、を備える。

情報処理部１２１は、入力部１２５を介して、個人情報の入力を受け付け、個人情報テーブル１１２ａを生成し、個人情報記憶領域１１２に記憶する処理を行う。

また、情報処理部１２１は、個人情報記憶領域１１２に記憶されている個人情報テーブル１１２ａを所定の表示形式にして出力部１２６に表示し、入力部１２５を介して、個人情報テーブル１１２ａに新たなレコードを追加し、個人情報テーブル１１２ａのレコードに格納されている変数値を変更することで、個人情報を更新する処理を行う。

安全変数値群抽出部１２２は、個人情報テーブル１１２ａの各々のフィールド毎に、当該フィールドに同じ変数値がいくつ格納されているかを、変数値毎にカウント（加算）する処理を行う。

そして、安全変数値群抽出部１２２は、変数値毎にカウントされた値を、安全変数値群抽出パラメータ記憶領域１１４に記憶されているパラメータと比較して、当該パラメータ以上の値を安全変数値と判断する。

さらに、安全変数値群抽出部１２２は、個人情報テーブル１１２ａの各々のレコード毎に、安全変数値を抽出して、安全変数値群テーブル１１５ａを生成して安全変数値群記憶領域１１５に記憶する処理を行う。

また、安全変数値群抽出部１２２は、個人情報テーブル１１２ａが更新された場合にも、更新された変数値に関連する変数値毎に、個人情報テーブル１１２ａの各々のフィールドにおいて同じ変数値がいくつ格納されているかをカウントして、パラメータと比較することにより、安全な変数値であるか否かを判断して、安全変数値群テーブル１１５ａを更新する処理を行う。

更新情報管理部１２３は、情報処理部１２１において個人情報テーブル１１２ａの更新が行われた場合には、更新状況管理情報記憶領域１１６に記憶されている更新情報管理テーブル１１６ａに、更新されたレコードのＩＤと、更新年月日時間と、更新種別と、を特定する情報を格納する処理を行う。

また、更新情報管理部１２３は、安全変数値群抽出部１２２において安全編通知群テーブル１１５が更新された場合には、更新されたレコードのＩＤに対応するレコードの安全変数値群更新日時フィールド１１６ｄに、更新年月日時間を特定する情報を格納する。

匿名化処理部１２４は、個人情報記憶領域１１２に記憶されている個人情報テーブル１１２ａの各々のレコードに格納されている変数値を、匿名化条件情報記憶領域１１７に記憶されている匿名化条件テーブル１１７ａに従って、匿名化する処理を行う。

具体的には、匿名化処理部１２４は、個人情報テーブル１１２ａの各々のレコードに格納されている変数値のうち、安全変数値群テーブル１１５ａに格納されている安全変数値以外の変数値を特定して、特定した変数値を匿名化条件テーブル１１７ａの対応するフィールドに格納されている条件（方法）に従って、匿名化する処理を行う。

入力部１２５は、情報の入力を受け付ける。

出力部１２６は、情報を出力する。

送受信部１２７は、ネットワーク１５０を介した情報の送受信を行うためのインターフェースである。

以上に記載した個人情報管理装置１１０は、例えば、図１０（コンピュータ１６０の概略図）に示すような、ＣＰＵ（Central Processing Unit）１６１と、メモリ１６２と、ＨＤＤ（Hard Disk Drive）等の外部記憶装置１６３と、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）やＤＶＤ−ＲＯＭ（Digital Versatile Disk Read Only Memory）等の可搬性を有する記憶媒体１６４から情報を読み出す読取装置１６５と、キーボードやマウスなどの入力装置１６６と、ディスプレイなどの出力装置１６７と、通信ネットワークに接続するためのＮＩＣ（Network Interface Card）等の通信装置１６８と、を備えた一般的なコンピュータ１６０で実現できる。

例えば、記憶部１１１は、ＣＰＵ１６１がメモリ１６２又は外部記憶装置１６３を利用することにより実現可能であり、制御部１２０は、外部記憶装置１６３に記憶されている所定のプログラムをメモリ１６２にロードしてＣＰＵ１６１で実行することで実現可能であり、入力部１２５は、ＣＰＵ１６１が入力装置１６６を利用することで実現可能であり、出力部１２６は、ＣＰＵ１６１が出力装置１６７を利用することで実現可能であり、送受信部１２７は、ＣＰＵ１６１が通信装置１６８を利用することで実現可能である。

この所定のプログラムは、読取装置１６５を介して記憶媒体１６４から、あるいは、通信装置１６８を介してネットワークから、外部記憶装置１６３にダウンロードされ、それから、メモリ１６２上にロードされてＣＰＵ１６１により実行されるようにしてもよい。また、読取装置１６５を介して記憶媒体１６４から、あるいは、通信装置１６８を介してネットワークから、メモリ１６２上に直接ロードされ、ＣＰＵ１６１により実行されるようにしてもよい。

図１１は、情報端末１４０の概略図である。

図示するように、情報端末１４０は、記憶部１４１と、個人情報記憶領域１４２と、制御部１４３と、個人情報分析部１４４と、入力部１４５と、出力部１４６と、送受信部１４７と、を備える。

記憶部１４１は、個人情報記憶領域１４２を備える。

個人情報記憶領域１４２には、個人情報管理装置１１０から送受信部１４７を介して受信した匿名個人情報テーブル１１８ａが記憶される。

制御部１４３は、個人情報分析部１４４を備える。

個人情報分析部１４４は、個人情報記憶領域１４２に記憶されている匿名個人情報テーブル１１８ａを分析して、分析結果を予め定められた表示形式にして出力部１４６に出力する処理を行う。

例えば、本実施形態においては、個人情報分析部１４４は、ＲＦＭ分析を行うようにしている。ＲＦＭ分析とは、Recency(Recency：最近の購買日）、Frequency(累計購買回数）、Monetary（累計購買金額）の３つの指標により顧客を分類、あるいはランキングする分析手法として一般的に知られているものである。

なお、図１２（分析結果表示画面１４４ａの概略図）は、匿名個人情報テーブル１１８ａに格納されている情報から、ＲＦＭ分析を行うことで、男性の優良顧客リスト（優良顧客と判断された男性の個人情報を格納したレコードＩＤのリスト）を表示した分析結果表示画面である。このような顧客リストを匿名個人情報テーブル１１８ａや、匿名個人情報テーブル１１８ａを作成するために用いた元データ、例えば、購買履歴と照らし合わせることにより、優良顧客をターゲットとした購買パターンの把握が可能になる。

入力部１４５は、情報の入力を受け付ける。

出力部１４６は、情報を出力する。

送受信部１４７は、ネットワーク１５０を介して情報を送受信するためのインターフェースである。

以上に記載した情報端末１４０は、例えば、図１０に示すような一般的なコンピュータ１６０で実現できる。

例えば、記憶部１４１は、ＣＰＵ１６１がメモリ１６２又は外部記憶装置１６３を利用することにより実現可能であり、制御部１４３は、外部記憶装置１６３に記憶されている所定のプログラムをメモリ１６２にロードしてＣＰＵ１６１で実行することで実現可能であり、入力部１４５は、ＣＰＵ１６１が入力装置１６６を利用することで実現可能であり、出力部１４６は、ＣＰＵ１６１が出力装置１６７を利用することで実現可能であり、送受信部１４７は、ＣＰＵ１６１が通信装置１６８を利用することで実現可能である。

この所定のプログラムは、読取装置１６５を介して記憶媒体１６４から、あるいは、通信装置１６８を介してネットワークから、外部記憶装置１６３にダウンロードされ、それから、メモリ１６２上にロードされてＣＰＵ１６１により実行されるようにしてもよい。また、読取装置１６５を介して記憶媒体１６４から、あるいは、通信装置１６８を介してネットワークから、メモリ１６２上に直接ロードされ、ＣＰＵ１６１により実行されるようにしてもよい。

図１３は、情報システム１００での処理を示すシーケンス図である。

まず、個人情報管理装置１１０の情報処理部１２１は、個人情報記憶領域１１２に記憶されている個人情報テーブル１１２ａを出力部１２６に出力し、個人情報管理装置１１０のオペレータより入力部１２５を介して、個人情報テーブル１１２ａの更新を受け付ける（Ｓ１０）。

そして、情報処理部１２１は、個人情報テーブル１１２ａに新たなレコードが追加され、または、個人情報テーブル１１２ａの既存のレコードの変数値が変更されると、更新情報管理部１２３に、追加もしくは更新されたレコードのＩＤと、更新種別（変更又は追加）を通知する。

このような通知を受けた更新情報管理部１２３は、更新状況管理情報記憶領域１１６に記憶されている更新状況管理テーブル１１６ａを更新する（Ｓ１１）。

具体的には、更新情報管理部１２３は、更新状況管理テーブル１１６ａに新たなレコードを追加して、通知されたＩＤをＩＤフィールド１１６ｂに格納し、更新種別を更新種別フィールド１１６ｅに格納し、情報処理部より通知を受け取った年月日時間をレコード更新日時フィールドに格納する。

次に、個人情報管理装置１１０の安全変数値群抽出部１２２は、予め定めたタイミング（例えば、情報処理部１２１から個人情報テーブル１１２ａを更新した際の通知を受けた個数が一定の数に達した場合や、予め定められた時刻になった場合等）で、安全変数値群テーブル１２２ａの更新を行う（Ｓ１２）。

具体的には、安全変数値群抽出部１２２は、情報処理部１２１から個人情報記憶領域に記憶されている個人情報テーブル１１２ａの複製を取得して、更新用個人情報テーブルとする。

なお、以下では、更新用個人情報テーブルのＩＤフィールドを除く各フィールドの個数をＭとし、ＩＤフィールドを除いた各フィールドの変数値には、レコード毎に０〜Ｍ−１の自然数が各々割り振られているものとする。また、更新用個人情報テーブルのフィールド名を除く各レコードの個数をＮとし、当該各レコードには、０〜Ｎ−１の自然数が各々割り振られているものとする。そして、更新用個人情報テーブルの各変数値は、二次元配列Ｄ[Ｎ][Ｍ］に格納され、更新用個人情報テーブルにおけるｉ（０≦ｉ≦Ｎ−１）行目ｊ（０≦ｊ≦Ｍ−１）列目の変数値は、Ｄ[ｉ][ｊ]で参照されるものとする。

そして、安全変数値群抽出部１２２は、個人情報テーブル１１２ａに対してまだ安全変数値群の抽出処理を行っていない場合には、更新用個人情報テーブルの各々のフィールド毎に、当該フィールドに同じ変数値がいくつ格納されているかを、変数値毎にカウントした値を、安全変数値群抽出パラメータ記憶領域１１４に記憶されているパラメータと比較して、当該パラメータ以上の値を安全変数値と判断し、更新用個人情報テーブルの各々のレコード毎に、安全変数値を抽出して、安全変数値群テーブル１１５ａを生成して安全変数値群記憶領域１１５に記憶する処理を行う。

一方、安全変数値群抽出部１２２は、個人情報テーブル１１２ａに対して既に安全変数値群の抽出処理を行っている場合には、個人情報テーブル１１２ａにおいて更新された変数値に関連する変数値毎に、更新用個人情報テーブルの各々のフィールドにおいて同じ変数値がいくつ格納されているかをカウントして、パラメータと比較することにより、安全な変数値であるか否かを判断して、安全変数値群テーブル１１５ａを更新する処理を行う。なお、この処理の詳細については、図１４を用いて説明する。

さらに、安全変数値群抽出部１２２は、安全変数値群テーブルの更新を行った場合には、更新用個人情報テーブルを安全値群更新時個人情報記憶領域１１３に記憶する。

また、更新情報管理部１２３は、安全変数値群抽出部１２２において安全変数値群テーブル１１５ａの更新が行われた場合には、個人情報テーブル１１２ａにおいて変数値が更新されたレコードＩＤに対応する更新状況管理テーブル１１６ａのレコードの安全変数値群更新日時フィールド１１６ｄに、安全変数値群抽出部１２２が更新を行った年月日時間を格納する。

次に、個人情報管理装置１１０の匿名化処理部１２４は、予め定めたタイミング（例えば、安全変数値群抽出部１２２が安全変数値群テーブル１２２ａの更新を行った後）において、匿名個人情報テーブル１１８ａの更新処理を行う（Ｓ１３）。

具体的には、匿名化処理部１２４は、更新状況管理情報記憶領域１１６に記憶されている更新状況管理テーブル１１６ａからＩＤフィールド１１６ｂに格納されている情報の一覧と、安全変数値群更新日時フィールド１１６ｄに格納されている情報の一覧と、を取得する。

そして、匿名化処理部１２４は、取得した安全変数値更新日時と、匿名化実行日時管理情報記憶領域１１９に記憶されている匿名化日時と、を対応するＩＤのレコード同士で比較し、安全変数値群更新日時が、匿名化日時よりも新しいレコードのＩＤを特定する。

次に、匿名化処理部１２４は、特定したＩＤに対応する安全変数値群を、安全変数値群記憶領域１１５に記憶されている安全変数値群テーブル１１５ａから取得し、さらに、匿名化処理部１２４は、特定したＩＤに対応する個人情報を、個人情報記憶領域１１２に記憶されている個人情報テーブル１１２ａから取得する。

そして、匿名化処理部１２４は、取得した個人情報の内、安全変数値群に対応する変数値がないものを匿名化条件テーブル１１７ａに従って変換して、匿名個人情報テーブル１１８の対応するＩＤのレコードの対応するフィールドに格納する。

また、情報処理部１２１は、特定のタイミングで（例えば、情報端末１４０からの要求があった時等）、送受信部１２７を介して、匿名個人情報記憶領域１１８に記憶されている匿名個人情報テーブル１１８ａを情報端末１４０に送信する（Ｓ１４）。

このような匿名個人情報テーブル１１８ａを受信した情報端末１４０では、個人情報分析部１４４が、受信した匿名個人情報テーブル１１８ａを個人情報記憶領域１４２に記憶するとともに、特定のタイミングで（例えば、情報端末１４０のオペレータより入力部１４５を介して分析指示の入力を受けた時等）、予め定められた法則に従って匿名個人情報テーブル１１５ａに格納されている情報を分析し（Ｓ１５）、例えば、性別、来店日、来店頻度、購入額を条件として抽出した、優良顧客を表すデータのリストを出力部１４６に出力する（Ｓ１６）。

図１４は、安全変数値群テーブル更新処理を示すフローチャートである。

まず、個人情報管理装置１１０の安全変数値群抽出部１２２は、安全変数値群抽出パラメータを安全変数値群抽出パラメータ記憶領域１１４から読み込み、また、個人情報テーブル１１２ａを個人情報記憶領域１１２から読み込み、更新用個人情報テーブルとする（Ｓ２０）。

次に、安全変数値群抽出部１２２は、更新状況管理テーブル１１６ａの各レコードを一つずつ参照するためのカウンタ変数ｉを０に初期化する（Ｓ２１）。

次に、安全変数値群抽出部１２２は、カウンタ変数ｉがＮ未満であるか否かを判定し（Ｓ２２）、Ｎ未満である場合（ステップＳ２２でＹｅｓ）、ステップＳ２３に進み、一方、カウンタ変数ｉがＮ未満ではない場合（ステップＳ２２でＮｏ）、ステップＳ３２に進む。ここで、Ｎはヘッダ行を除いた更新状況管理テーブル１１６ａの行数（レコード数）である。

ステップＳ２３では、安全変数値群抽出部１２２は、更新状況管理テーブル１１６ａのｉ行目を参照し、レコード更新日時が、安全変数値群更新日時よりも新しいかどうかを判定する。例えば、更新状況管理テーブル１１６ａの例では、ｉ＝０のときはＩＤ＝１のデータを参照し、レコード更新日時「2007/5/3 10:30」と、安全変数値群更新日時「2007/5/4 0:00」と、を比較する。

そして、レコード更新日時が安全変数値群更新日時よりも新しいと判定された場合（ステップＳ２３でＹｅｓ）、安全変数値群抽出部１２２は、更新状況管理テーブル１１６ａのｉ行目のＩＤに対応する更新用個人情報テーブルのレコードについて安全変数値群の更新が必要と見なし、ステップＳ２４に進む。一方、レコード更新日時が安全変数値群更新日時よりも新しくない場合には（ステップＳ２３でＮｏ）、更新を不要とみなし、ステップＳ３１に進む。

次に、ステップＳ２４では、安全変数値群抽出部１２２は、更新状況管理テーブル１１６ａのｉ行目のレコードの更新種別フィールド１１６ｅの相対を参照し、更新種別が変更か否かを判定する。

そして、更新種別が変更と判定された場合（ステップＳ２４でＹｅｓ）には、ステップＳ２５に進み、一方、更新種別が変更と判定されなかった場合（ステップＳ２４でＮｏ）には、ステップＳ２７に進む。

ステップＳ２５では、安全変数値群抽出部１２２は、安全変数値群更新時個人情報記憶領域１１３に記憶されている安全変数値群更新時個人情報テーブルのｉ番目のレコードと、更新用個人情報テーブルのｉ番目のレコードを比較して、値が一致しない更新用個人情報テーブルの変数値、すなわち値が更新された変数値を特定する。特定されたｍ個の変数値と、その変数名の変数番号はそれぞれ、要素数がｍの配列Value[]、配列VarName[]に格納される。ｍは１以上Ｍ以下の整数である。

次に、安全変数値群抽出部１２２は、更新用個人情報テーブルのフィールド毎に、ステップＳ２５で特定した変数値と同じ変数値を有するレコードのＩＤを抽出し、全てのフィールド毎に抽出したＩＤを集計することで、重複しないＩＤの集合を特定する（Ｓ２６）。具体的には、ｋ＝０，１，・・・，Ｎ−１のそれぞれにおいて、条件Ｄ[k][VarName[0]]=Value[0] or Ｄ[k][VarName[1]]=Value[1] or ・・・ Ｄ[k][VarName[m-1]]=Value[m-1]が成立するレコードが有する、ＩＤの重複しない集合を求める。

また、ステップＳ２７では、安全変数値群抽出部１２２は、更新用個人情報テーブルのフィールド毎に、更新用個人情報テーブルのｉ番目のレコードの各々の変数値と同じ変数値を有するレコードのＩＤを抽出し、全てのフィールド毎に抽出したＩＤを集計することで、重複しないＩＤの集合を特定する。具体的には、配列Value[]、配列VarName[]に、データ３０１’のi番目のレコードの値を全て格納し、ステップＳ２６と同様の処理により、ＩＤの重複しない集合を求める。

次に、安全変数値群抽出部１２２は、ステップＳ２６又はステップＳ２７で特定されたＩＤに対応する更新用個人情報テーブルのレコードに対し、安全変数値群の抽出処理を行う（Ｓ２８）。ステップＳ２８における１件のレコードデータに対する処理概要は以下の通りである。

まず、安全変数値群抽出部１２２は、１件のレコードデータが有する変数値の組（変数値群）を１個選択する。変数値群とは、変数名＝変数値の組を意味し、図８のデータを例に説明すると、｛性別＝男性｝あるいは｛性別＝男性、年齢＝３３｝あるいは｛性別＝男性、年齢＝３３、郵便番号２１５｝等となる。安全変数値群抽出部１２２は、このような変数値群を一個選択する。

次に、安全変数値群抽出部１２２は、更新用個人情報テーブルにおいて、上記の変数値の組を有するレコードデータの件数（同値レコード数）をカウントする。

次に、安全変数値群抽出部１２２は、上記の同値レコード数が、安全変数値群抽出パレメータ記憶領域１１４に記憶されているパラメータの値以上であれば、選択した変数値群を安全変数値群として採用する。

そして、安全変数値群抽出部１２２は、同値レコード数をカウントしていない変数値組に対して以上の処理を繰り返す。

ただし、安全変数値群の性質上、１個のレコードに存在する安全変数値群は１個とは限らず、２個以上存在しうる。本実施形態では各レコードにつき１個の安全変数値組を選択する。そのための典型的な処理の一つは非特許文献１に開示されている。非特許文献１が開示するアルゴリズムでは、予め変数値の組み合わせの優先順位を決めておき、その優先順位に従って変数値群を順にカウントする。カウントした結果、パラメータを満たす変数値群のうち、優先順位が最も大きく、かつ、組に含まれる変数値の個数が最大の変数値群を、当該レコードの最大安全変数値群として抽出する。

次に、安全変数値群抽出部１２２は、ステップＳ２８で抽出された安全変数値群を案園変数値群記憶領域１１５に記憶されている安全変数値群テーブル１１５のＩＤ＝ｉのレコードに格納する（Ｓ２９）。

次に、安全変数値群抽出部１２２は、更新状況管理テーブル１１６のＩＤ＝ｉのレコードの安全変数値群更新日時フィールド１１６ｄに安全変数値を更新した年月日時間を格納する（Ｓ３０）。

そして、安全変数値群抽出部１２２は、カウンタ変数ｉを１増やし（Ｓ３１）、ステップＳ２２に戻り、処理を繰り返す。

そして、ステップＳ３２では、安全変数値群抽出部１２２は、更新用個人情報テーブルを安全変数値群更新時個人情報テーブルとして、安全変数値群更新時個人情報記憶領域１１３に記憶する。

以上が安全変数値群テーブル更新処理の詳細である。

非特許文献１に記載の技術など、従来知られている方法では、個人情報テーブル１１２ａのレコードの１件でも更新されるか、あるいは新たなレコードが追加された場合、個人情報テーブル１１２ａの全てのレコードについて安全変数値群を求め直す必要があった。これに対し本実施例では、安全変数値群更新時個人情報テーブルを記憶しておき、個人情報テーブル１１２ａのレコード更新された際に、更新された変数値が関係するレコードに限定して安全変数値群を求めることが可能になる。

また、個人情報テーブル１１２ａに新たなレコード追加された際も、追加されたレコードが有する変数値が関係するレコードに限定して安全変数値群を求めることが可能になる。

このように、本実施形態によれば、安全変数値群テーブル１１５ａの更新処理を従来技術よりも効率的に行うことができるようになる。

なお、本実施形態では、安全変数値群テーブル１１５ａを最初に生成するときは、非特許文献１等に記載されている従来技術を適用し、安全変数値群テーブル１１５ａの更新時に本発明を適用する例を示したが、本発明の原理上、更新もしくは追加レコードの件数に基づいて安全変数値群抽出処理を使い分ける方法も容易に実現できる。例えば、レコード更新日時が安全変数値群抽出日時よりも新しいレコードの件数をカウントし、この数が所定の件数、例えば１０万件よりも小さければ図１４に示した安全変数値群更新処理を実行し、１０万件よりも大きければ従来技術を用いるようにしてもよい。

また、以上に記載した実施形態では、情報システム１００を個人情報管理装置１１０と、情報端末１４０と、で構成したが、このような態様に限定されず、例えば、個人情報管理装置１１０で行う処理に関しては、複数の装置で分散して行ってもよい。

例えば、図１５（情報システム１００の変形例を示す概略図）に示す情報システム１００’のように、個人情報管理装置１１０の代わりに、個人情報保存装置１７０、識別リスク管理装置１７１及び業務情報管理装置１７２を設けて、これらの装置において個人情報管理装置１１０で行っている処理を分散して行ってもよい。具体的には、
個人情報保存装置１７０の記憶部には個人情報記憶領域１１２を設けておき、個人情報保存装置１７０の制御部には、情報処理部１２１を設けておき、識別リスク管理装置１７１の記憶部には、安全変数値群更新時個人情報記憶領域１１３、安全変数値群抽出パラメータ記憶領域１１４、安全変数値群記憶領域１１５及び更新状況管理情報記憶領域１１６を設けておき、識別リスク管理装置１７１の制御部には、安全変数値群抽出部１２２及び更新情報管理部１２３を設けておき、業務情報管理装置１７２の記憶部には、匿名化条件情報記憶領域１１７、匿名個人情報記憶領域１１８及び匿名化実行日時管理情報記憶領域１１９を設けておき、業務情報管理装置１７２の制御部には、匿名化処理部１２４を設けておき、これらの装置で情報を適宜送受信することで、個人情報管理装置１１０と同様の処理を行うことが可能となる。

次に、本発明の第二の実施形態である情報システムについて説明する。ここで、本発明の第二の実施形態では、個人情報管理装置２１０が第一の実施形態と異なっているため、以下、個人情報管理装置２１０に関連する事項について説明する。

なお、第二の実施形態では、情報システムの管理者の選択により、第一の実施形態と同様に匿名個人情報テーブルを生成することができるほか、後述するように、アクセス制御個人情報テーブルも生成することができるようにしている。なお、この選択は、入力部１２５を介して個人情報管理装置２１０に設定を行えばよい。

図１６は、個人情報管理装置２１０の概略図である。

図示するように、個人情報管理装置２１０は、記憶部２１１と、制御部２２０と、入力部１２５と、出力部１２６と、送受信部１２７と、を備え、記憶部２１１及び制御部２２０が第一の実施形態と異なっているため、以下、これらに関連する事項について説明する。

記憶部２１１は、個人情報記憶領域１１２と、安全変数値群更新時個人情報記憶領域１１３と、安全変数値群抽出パラメータ記憶領域１１４と、安全変数値群記憶領域１１５と、更新状況管理情報記憶領域１１６と、匿名化条件情報記憶領域１１７と、匿名個人情報記憶領域１１８と、匿名化実行日時管理情報記憶領域１１９と、アクセス制御情報記憶領域２２８と、を備え、第一の実施形態と比較して、アクセス制御情報記憶領域２２８が異なっているため、以下、アクセス制御情報記憶領域２２８について説明する。

アクセス制御情報記憶領域２２８には、情報端末１４０を利用するユーザ毎に、個人情報記憶領域１１２に記憶されている個人情報テーブル１１２ａに格納されている各々の変数値にアクセス可能か否かを特定する情報が格納される。

例えば、本実施形態においては、情報端末１４０を利用するユーザ毎に、図１７（アクセス制御テーブル２２８ａの概略図）に示すようなアクセス制御テーブル２２８ａがアクセス制御情報記憶領域２２８に記憶される。

図示するように、アクセス制御テーブル２２８ａは、ＩＤフィールド２２８ｂと、性別フィールド２２８ｃと、年令フィールド２２８ｄと、郵便番号フィールド２２８ｅと、来店頻度フィールド２２８ｆと、来店日フィールド２２８ｇと、購入額フィールド２２８ｈと、を備える。

ＩＤフィールド２２８ｂには、個人情報テーブル１１２ａのＩＤフィールド１１２ｂに格納されているＩＤに対応するＩＤが格納される。

ＩＤフィールド２２８ｂで特定されるレコードの、性別フィールド２２８ｃ、年令フィールド２２８ｄ、郵便番号フィールド２２８ｅ、来店頻度フィールド２２８ｆ、来店日フィールド２２８ｇ及び購入額フィールド２２８ｈには、個人情報テーブル１１２ａの対応するレコード及びフィールドに格納されている情報（変数値）に、情報端末１４０を利用するユーザがアクセス可能か否かを特定する情報が格納される。

ここで、本実施形態では、「○」の記号が格納されている場合にはアクセス可能であることを示し、「×」の記号が格納されている場合にはアクセス可能でないことを示すようにしているが、このような態様に限定されるわけではない。

図１６に戻り、制御部２２０は、情報処理部１２１と、安全変数値群抽出部１２２と、更新情報管理部１２３と、匿名化処理部１２４と、アクセス制御部２２９と、を備え、第一の実施形態と比較して、アクセス制御部２２９が異なっているため、以下、アクセス制御部２２９について説明する。

アクセス制御部２２９は、安全変数値群記憶領域１１５に記憶されている安全変数値群テーブル１１５ａから、アクセス制御テーブル２２８ａを生成する処理を行う。

具体的には、安全変数値群テーブル１１５ａを参照して、個人情報記憶領域１１２に記憶されている個人情報テーブル１１２ａにおいて、安全変数値群に含まれている変数値の欄には「○」を格納し、安全変数値群に含まれていない変数値の欄には「×」を格納することで、アクセス制御テーブル２２８ａを生成する。なお、アクセス制御部２２９は、生成したアクセス制御テーブル２２８ａをアクセス制御情報記憶領域２２８に記憶する処理を行う。

また、アクセス制御部２２９は、安全変数値テーブル１１５ａが更新された場合には、安全変数値テーブル１１５ａが更新されたレコードに対応するアクセス制御テーブル２２８ａのレコードの値を更新する処理を行う。

さらに、アクセス制御部２２９は、情報端末１４０からのアクセス要求に対して、情報端末１４０のユーザに対応するアクセス制御テーブル２２８ａでアクセス可能とされている欄にのみ個人情報テーブル１１２ａの変数値を格納したアクセス制御個人情報テーブルを生成して、情報端末１４０に送信する処理を行う。

以上に記載した個人情報管理装置２１０は、例えば、図１０に示すような一般的なコンピュータ１６０で実現できる。

例えば、記憶部２１１は、ＣＰＵ１６１がメモリ１６２又は外部記憶装置１６３を利用することにより実現可能であり、制御部２２０は、外部記憶装置１６３に記憶されている所定のプログラムをメモリ１６２にロードしてＣＰＵ１６１で実行することで実現可能であり、入力部１２５は、ＣＰＵ１６１が入力装置１６６を利用することで実現可能であり、出力部１２６は、ＣＰＵ１６１が出力装置１６７を利用することで実現可能であり、送受信部１２７は、ＣＰＵ１６１が通信装置１６８を利用することで実現可能である。

この所定のプログラムは、読取装置１６５を介して記憶媒体１６４から、あるいは、通信装置１６８を介してネットワークから、外部記憶装置１６３にダウンロードされ、それから、メモリ１６２上にロードされてＣＰＵ１６１により実行されるようにしてもよい。また、読取装置１６５を介して記憶媒体１６４から、あるいは、通信装置１６８を介してネットワークから、メモリ１６２上に直接ロードされ、ＣＰＵ１６１により実行されるようにしてもよい。

図１８は、第二の実施形態における情報システムでの処理を示すシーケンス図である。

ステップＳ４０〜ステップＳ４２の処理については、第一の実施形態における図１３のステップＳ１０〜ステップＳ１２と同様の処理であるため、説明を省略する。

ステップＳ４３では、アクセス制御部２２９は、アクセス制御テーブル２２８ａの更新を行う。

具体的には、アクセス制御部２２９は、安全変数値群テーブル１１５ａを安全変数値群記憶領域１１５から読み出す。

そして、アクセス制御部２２９は、安全変数値群テーブル１１５ａに格納されている安全変数値に対応するアクセス制御テーブル２２８ａの欄には、「○」を、それ以外には「×」を格納することで、アクセス制御テーブル２２８ａの更新を行う。

次に、アクセス制御部２２９は、予め定められたタイミング（例えば、情報端末１４０ａからのアクセス（取得）要求があった時）において、アクセス制御個人情報テーブルを生成する（Ｓ４４）。

具体的には、アクセス制御部２２９は、個人情報記憶領域１１２から個人情報テーブル１１２ａを取得して、アクセス制御テーブル２２８ａの「×」の値が格納されている欄に対応する欄の変数値を個人情報テーブル１１２ａから削除することで、アクセス制御個人情報テーブルを生成する。

そして、アクセス制御部２２９は、送受信部１２７を介して、生成したアクセス制御個人情報テーブルを情報端末１４０に送信する。

このようなアクセス制御個人情報テーブルを受信した情報端末１４０では、個人情報分析部１４４が、受信したアクセス制御個人情報テーブルを個人情報記憶領域１４２に記憶するとともに、特定のタイミングで（例えば、情報端末１４０のオペレータより入力部１４５を介して分析指示の入力を受けた時等）、予め定められた法則に従ってアクセス制御個人情報テーブルに格納されている情報を分析し（Ｓ４６）、例えば、性別、来店日、来店頻度、購入額を条件として抽出した、優良顧客を表すデータのリストを出力部１４６に出力する（Ｓ４７）。

以上に記載したように、アクセス制御テーブル２２８ａをユーザ毎に生成することで、限られた特権ユーザは個人情報テーブル１１２ａの全変数値の参照を許可し、一般ユーザは識別リスクが低い安全変数値群に対応する変数値のみの参照を許可する、という運用が可能になる。

なお、以上に記載した実施形態においては、ユーザ毎にアクセス制御テーブル２２８ａを生成することとしているが、このような態様に限定されず、例えば、情報端末１４０で分析を行う分析方法毎や情報端末１４０毎にアクセス制御テーブル２２８ａを生成するようにしてもよい。

また、以上に記載した実施形態において、ユーザ（又は分析方法、情報端末１４０）毎に安全変数値群抽出パラメータ記憶領域１１４に記憶されているパラメータを異なる値にして（ユーザ等毎に安全変数値群抽出パラメータテーブル１１４ａを生成して）、アクセス制御テーブル２２８ａを生成するようにしてもよい。このようにすることで、ユーザ（又は分析方法、情報端末１４０）毎に安全性の判断基準を変えることができる。

次に、本発明の第三の実施形態である情報システムについて説明する。ここで、本発明の第三の実施形態では、個人情報管理装置３１０が第一の実施形態と異なっているため、以下、個人情報管理装置３１０に関連する事項について説明する。

図１９は、個人情報管理装置３１０の概略図である。

図示するように、個人情報管理装置３１０は、記憶部３１１と、制御部３２０と、入力部１２５と、出力部１２６と、送受信部１２７と、を備え、記憶部３１１及び制御部３２０が第一の実施形態と異なっているため、以下、これらに関連する事項について説明する。

記憶部３１１は、個人情報記憶領域１１２と、安全変数値群更新時個人情報記憶領域１１３と、安全変数値群抽出パラメータ記憶領域１１４と、安全変数値群記憶領域１１５と、更新状況管理情報記憶領域１１６と、匿名化条件情報記憶領域１１７と、匿名個人情報記憶領域１１８と、匿名化実行日時管理情報記憶領域１１９と、ログ情報記憶領域３３０と、を備え、第一の実施形態と比較して、ログ情報記憶領域３３０が異なっているため、以下、ログ情報記憶領域３３０について説明する。

ログ情報記憶領域３３０には、情報端末１４０から個人情報管理装置３１０へのアクセスの履歴を特定する情報が格納される。

例えば、本実施形態においては、図２０（ログテーブル３３０ａの概略図）に示すようなログテーブル３３０ａがログ情報記憶領域３３０に記憶される。

図示するように、ログテーブル３３０ａは、日時フィールド３３０ｂと、ユーザフィールド３３０ｃと、参照条件フィールド３３０ｄと、参照レコードフィールド３３０ｅと、参照変数フィールド３３０ｆと、を備える。

日時フィールド３３０ｂには、情報端末１４０からアクセスがあった年月日時間を特定する情報が格納される。

ユーザフィールド３３０ｃには、情報端末１４０からアクセスしたユーザを識別するための識別情報（ユーザＩＤ）が格納される。ここで、本実施形態では、情報端末１４０から個人情報管理装置３１０にアクセスする際には、アクセス要求にユーザＩＤを含められているものとする。このため、情報端末１４０を使用するユーザは、個人情報管理装置３１０にアクセスする前に、入力部１４５を介して、ユーザＩＤを入力するものとする。

参照条件フィールド３３０ｄには、情報端末１４０から個人情報管理装置３１０にアクセスしたユーザが、個人情報記憶領域１１２に記憶されている個人情報テーブル１１２ａを検索した際の参照条件（検索条件）を特定する情報が格納される。

参照レコードフィールド３３０ｅには、情報端末１４０から個人情報管理装置３１０にアクセスしたユーザが参照した個人情報テーブル１１２ａのレコードのＩＤを特定する情報が格納される。

参照変数フィールド３３０ｆには、情報端末１４０から個人情報管理装置３１０にアクセスしたユーザが参照した個人情報テーブル１１２ａの変数値のフィールド名（変数名）を特定する情報が格納される。

図１９に戻り、制御部３２０は、情報処理部１２１と、安全変数値群抽出部１２２と、更新情報管理部１２３と、匿名化処理部１２４と、ログ情報生成部３３１と、ログ情報出力部３３２と、を備え、第一の実施形態と比較して、ログ情報生成部３３１及びログ情報出力部３３２が異なっているため、以下、ログ情報生成部３３１及びログ情報出力部３３２について説明する。

ログ情報生成部３３１は、情報端末１４０から個人情報管理装置３１０にアクセスがある毎に、ログ情報記憶領域３３０に記憶されているログテーブル３３０ａに新たなレコードを追加して、必要な情報を格納する。

ログ情報出力部３３２は、特定のタイミング（例えば、入力部１２５を介してログ情報の参照指示の入力を受け付けた場合）で、安全変数値群テーブル１１５ａを参照することで、ログ情報記憶領域３３０に記憶されているログテーブル３３０ａのうち、安全変数値群に属する変数値以外の変数値が参照されていることを示すレコードを抽出して、例えば、図２１（ログ情報の出力画面３３２ａを示す概略図）に示すような予め定められた表示形式の出力画面３３２ａを生成して、出力部１２６に出力する処理を行う。

以上に記載した個人情報管理装置３１０は、例えば、図１０に示すような一般的なコンピュータ１６０で実現できる。

例えば、記憶部３１１は、ＣＰＵ１６１がメモリ１６２又は外部記憶装置１６３を利用することにより実現可能であり、制御部３２０は、外部記憶装置１６３に記憶されている所定のプログラムをメモリ１６２にロードしてＣＰＵ１６１で実行することで実現可能であり、入力部１２５は、ＣＰＵ１６１が入力装置１６６を利用することで実現可能であり、出力部１２６は、ＣＰＵ１６１が出力装置１６７を利用することで実現可能であり、送受信部１２７は、ＣＰＵ１６１が通信装置１６８を利用することで実現可能である。

この所定のプログラムは、読取装置１６５を介して記憶媒体１６４から、あるいは、通信装置１６８を介してネットワークから、外部記憶装置１６３にダウンロードされ、それから、メモリ１６２上にロードされてＣＰＵ１６１により実行されるようにしてもよい。また、読取装置１６５を介して記憶媒体１６４から、あるいは、通信装置１６８を介してネットワークから、メモリ１６２上に直接ロードされ、ＣＰＵ１６１により実行されるようにしてもよい。

図２２は、第三の実施形態における情報システムでの処理を示すシーケンス図である。

ステップＳ５０〜ステップＳ５２の処理については、第一の実施形態における図１３のステップＳ１０〜ステップＳ１２と同様の処理であるため、説明を省略する。

ステップＳ５３では、情報端末１４０は、個人情報管理装置３１０から必要な情報を参照して、必要な個人情報を取得する（Ｓ５３）。

そして、ログ情報生成部３３１は、ステップＳ５３における処理を監視し、必要なログ情報を取得して（Ｓ５４）、取得したログ情報をログ情報記憶領域３３０に記憶されているログテーブル３３０ａに格納することで、ログテーブル３３０の更新を行う（Ｓ５５）。

そして、ログ情報出力部３３２は、特定のタイミングにおいて、ログ情報記憶領域３３０に記憶されているログテーブル３３０ａのうち、安全変数値群に属する変数値以外の変数値が参照されていることを示すレコードを抽出して、ログ情報の出力画面３３２ａを生成し（Ｓ５６）、出力部１２６に出力する（Ｓ５７）。

なお、個人情報を取得した情報端末１４０では、個人情報分析部１４４が、受信した個人情報を個人情報記憶領域１４２に記憶するとともに、特定のタイミングで（例えば、情報端末１４０のオペレータより入力部１４５を介して分析指示の入力を受けた時等）、予め定められた法則に従って個人情報を分析し（Ｓ５８）、例えば、性別、来店日、来店頻度、購入額を条件として抽出した、優良顧客を表すデータのリストを出力部１４６に出力する（Ｓ５９）。

このように本実施形態では、個人情報テーブル１１２ａの識別リスクが高いレコードを参照したときのアクセスログを優先的に出力することで、個人を特定できる可能性のある個人情報の利用状況を優先的に把握し、適正な個人情報利用が行われているかどうかの監査等に活用することができる。

以上に記載した実施形態においては、安全変数値群抽出部１２２は、個人情報テーブル１１２ａの更新後の変数値を有する個人情報テーブル１１２ａのレコードから安全変数値群テーブル１１５ａを更新しているが、このような態様に限定されず、例えば、個人情報テーブル１１２ａの更新前の変数値（変更前の変数値）を有する個人情報テーブル１１２ａのレコードも用いて、安全変数値群テーブル１１５ａを更新するようにしてもよい。

情報システムの概略図。 個人情報管理装置の概略図。 個人情報テーブルの概略図。 安全変数値群抽出パラメータテーブルの概略図。 安全変数値群テーブルの概略図。 更新状況管理テーブルの概略図。 匿名化条件テーブルの概略図。 匿名個人情報テーブルの概略図。 匿名化実行日時テーブルの概略図。 コンピュータの概略図。 情報端末の概略図。 分析結果表示画面の概略図。 情報システムでの処理を示すシーケンス図。 安全変数値群テーブル更新処理を示すフローチャート。 情報システムの変形例を示す概略図。 個人情報管理装置の概略図。 アクセス制御テーブルの概略図。 第二の実施形態における情報システムでの処理を示すシーケンス図。 個人情報管理装置の概略図。 ログテーブルの概略図。 ログ情報の出力画面を示す概略図。 第三の実施形態における情報システムでの処理を示すシーケンス図。

符号の説明

１００、１００’ 情報システム
１１０、２１０、３１０ 個人情報管理装置
１１１ 記憶部
１１２ 個人情報記憶領域
１１３ 安全変数値群更新時個人情報記憶領域
１１４ 安全変数値群抽出パラメータ記憶領域
１１５ 安全変数値群記憶領域
１１６ 更新状況管理情報記憶領域
１１７ 匿名化条件情報記憶領域
１１８ 匿名個人情報記憶領域
１１９ 匿名化実行日時管理情報記憶領域
２２８ アクセス制御情報記憶領域２２８
３３０ ログ情報記憶領域
１２０ 制御部
１２１ 情報処理部
１２２ 安全変数値群抽出部
１２３ 更新情報管理部
１２４ 匿名化処理部
２２９ アクセス制御部
３３１ ログ情報生成部
３３２ ログ情報出力部
１２５ 入力部
１２６ 出力部
１２７ 送受信部
１４０ 情報端末

Claims (15)

1. １以上の項目に対応する情報を格納した個人情報を１レコードとする個人情報テーブルと、
   前記項目毎に、同じ情報が格納されている前記個人情報の数が予め定められた数以上である情報を安全情報として、前記個人情報毎に１レコードに格納した安全情報群テーブルと、
   を記憶する記憶部と、制御部と、を有する情報管理装置であって、
   前記制御部は、
   前記個人情報テーブルの更新が行われた場合に、更新後の情報が格納されている個人情報を特定する処理と、
   特定された個人情報において、項目毎に、変更後の情報と同じ情報が格納されている数を集計する処理と、
   集計した数が、前記予め定められた数以上である場合に、変更後の情報を安全情報として、前記安全情報群テーブルに格納する処理と、を行うこと、
   を特徴とする情報管理装置。
2. 請求項１に記載の情報管理装置であって、
   前記制御部は、
   前記個人情報テーブルに格納されている情報のうち、前記安全情報群テーブルに格納されていない情報を、予め定められた法則により他の情報に変換することで、前記個人情報テーブルを匿名化した匿名化個人情報テーブルを生成する処理を行うこと、
   を特徴とする情報管理装置。
3. 請求項１又は２に記載の情報管理装置であって、
   前記制御部は、
   前記個人情報テーブルに格納されている情報のうち、前記安全情報群テーブルに格納されていない情報を削除することで、前記個人情報テーブルの特定の情報にアクセスすることができないアクセス制限個人情報テーブルを生成する処理を行うこと、
   を特徴とする情報管理装置。
4. 請求項２又は３に記載の情報管理装置であって、
   前記制御部は、
   他の装置から個人情報の取得要求があった場合には、前記匿名化個人情報テーブル又は前記アクセス制限個人情報テーブルを、前記他の装置に出力する処理を行うこと、
   を特徴とする情報管理装置。
5. 請求項１乃至４のいずれか一項に記載の情報管理装置であって、
   前記制御部は、
   他の装置から前記個人情報テーブルに格納された情報を参照した履歴情報を取得する処理と、
   他の装置から参照された情報が、前記安全情報群テーブルに格納されていない情報である履歴情報を予め定められた出力形式にして出力する処理と、を行うこと、
   を特徴とする情報管理装置。
6. コンピュータを、
   １以上の項目に対応する情報を格納した個人情報を１レコードとする個人情報テーブルと、
   前記項目毎に、同じ情報が格納されている前記個人情報の数が予め定められた数以上である情報を安全情報として、前記個人情報毎に１レコードに格納した安全情報群テーブルと、
   を記憶する記憶手段、制御手段、として機能させるプログラムであって、
   前記制御手段に、
   前記個人情報テーブルの更新が行われた場合に、更新後の情報が格納されている個人情報を特定する処理と、
   特定された個人情報において、項目毎に、変更後の情報と同じ情報が格納されている数を集計する処理と、
   集計した数が、前記予め定められた数以上である場合に、変更後の情報を安全情報として、前記安全情報群テーブルに格納する処理と、を行わせること、
   を特徴とするプログラム。
7. 請求項６に記載のプログラムであって、
   前記制御手段に、
   前記個人情報テーブルに格納されている情報のうち、前記安全情報群テーブルに格納されていない情報を、予め定められた法則により他の情報に変換することで、前記個人情報テーブルを匿名化した匿名化個人情報テーブルを生成する処理を行わせること、
   を特徴とするプログラム。
8. 請求項６又は７に記載のプログラムであって、
   前記制御手段に、
   前記個人情報テーブルに格納されている情報のうち、前記安全情報群テーブルに格納されていない情報を削除することで、前記個人情報テーブルの特定の情報にアクセスすることができないアクセス制限個人情報テーブルを生成する処理を行わせること、
   を特徴とするプログラム。
9. 請求項７又は８に記載のプログラムであって、
   前記制御手段に、
   他の装置から個人情報の取得要求があった場合には、前記匿名化個人情報テーブル又は前記アクセス制限個人情報テーブルを、前記他の装置に出力する処理を行わせること、
   を特徴とするプログラム。
10. 請求項６乃至９のいずれか一項に記載のプログラムであって、
    前記制御手段に、
    他の装置から前記個人情報テーブルに格納された情報を参照した履歴情報を取得する処理と、
    他の装置から参照された情報が、前記安全情報群テーブルに格納されていない情報である履歴情報を予め定められた出力形式にして出力する処理と、を行わせること、
    を特徴とするプログラム。
11. １以上の項目に対応する情報を格納した個人情報を１レコードとする個人情報テーブルと、
    前記項目毎に、同じ情報が格納されている前記個人情報の数が予め定められた数以上である情報を安全情報として、前記個人情報毎に１レコードに格納した安全情報群テーブルと、
    を記憶する記憶部と、制御部と、を有する情報管理装置が行う情報管理方法であって、
    前記制御部が、前記個人情報テーブルの更新が行われた場合に、更新後の情報が格納されている個人情報を特定する処理を行う過程と、
    前記制御部が、特定された個人情報において、項目毎に、変更後の情報と同じ情報が格納されている数を集計する処理を行う過程と、
    前記制御部が、集計した数が、前記予め定められた数以上である場合に、変更後の情報を安全情報として、前記安全情報群テーブルに格納する処理を行う過程と、を備えること、
    を特徴とする情報管理方法。
12. 請求項１１に記載の情報管理方法であって、
    前記制御部が、前記個人情報テーブルに格納されている情報のうち、前記安全情報群テーブルに格納されていない情報を、予め定められた法則により他の情報に変換することで、前記個人情報テーブルを匿名化した匿名化個人情報テーブルを生成する処理を行う過程を備えること、
    を特徴とする情報管理方法。
13. 請求項１１又は１２に記載の情報管理方法であって、
    前記制御部が、前記個人情報テーブルに格納されている情報のうち、前記安全情報群テーブルに格納されていない情報を削除することで、前記個人情報テーブルの特定の情報にアクセスすることができないアクセス制限個人情報テーブルを生成する処理を行う過程を備えること、
    を特徴とする情報管理方法。
14. 請求項１２又は１３に記載の情報管理方法であって、
    前記制御部が、他の装置から個人情報の取得要求があった場合には、前記匿名化個人情報テーブル又は前記アクセス制限個人情報テーブルを、前記他の装置に出力する処理を行う過程を備えること、
    を特徴とする情報管理方法。
15. 請求項１１乃至１４のいずれか一項に記載の情報管理方法であって、
    前記制御部が、他の装置から前記個人情報テーブルに格納された情報を参照した履歴情報を取得する処理を行う過程と、
    前記制御部が、他の装置から参照された情報が、前記安全情報群テーブルに格納されていない情報である履歴情報を予め定められた出力形式にして出力する処理を行う過程と、を備えること、
    を特徴とする情報管理方法。

Images