JP5747012B2 - 匿名化データ変更システム - Google Patents

Description

本発明の実施形態は、匿名化データ変更システムに関する。

企業や個人等といったデータ所有者が所有するデータは、増大化及び複雑化する一方である。また、データ所有者は、このような大量のデータを所有する反面、大量のデータに対する分析スキルや分析システムを持たない場合が多い。なお、ここでいう分析スキルは、統計学及び分析ツールの専門的な知識等を意味し、分析システムは、分析ツール、及び大量のデータを高速に分析可能な分散システム等を意味する。

従って、大量のデータを分析して有効活用を図る場合、分析スキルや分析システムを持つ外部の専門家等のデータ分析者にデータの分析を委託する形態が広まりつつある。

一方、分析対象のデータには個人情報が含まれる場合がある。よって、安易にデータ分析者にデータを提供することは、個人情報を漏えいさせる心配があり、望ましくない。この心配を解消可能な技術の一つに、匿名化技術がある（例えば、非特許文献１参照）。匿名化技術とは、個人を特定できないように、データの一部に変更を加える技術の総称である。

特開２０１０−８６１７９号公報 特開２０１１−１２３７１２号公報

"個人情報匿名化基盤"、［online］、経済産業省、情報大航海プロジェクト、［平成２４年１０月３日検索］、インターネット＜URL：http://www.meti.go.jp/policy/it_policy/daikoukai/igvp/cp2_jp/common/024/010/post-9.html＞

以上のような匿名化技術は、通常は特に問題がないが、本発明者による検討によれば、以下に述べるように、２つの課題をもつ点で改良の余地がある。

始めに、本発明者の検討によれば、データ所有者には３つの要求がある。

第１の要求は、匿名化の手間を最小限にしたいという要求（以下、匿名化最小要求ともいう）である。

第２の要求は、データ解析者に提供するデータの情報量を必要最小限にしたいという要求（以下、情報量最小要求ともいう）である。

第３の要求は、分析結果の精度を良くしたい、少なくとも精度を許容範囲内に維持したいという要求（以下、精度維持要求ともいう）である。

実際の運用においては、これら３つの要求を同時に満たすことが困難であり、以下のような２つの課題が存在する。

例えば、情報量最小要求と精度向上要求とは、データ分析者に提供する情報量が少なければ分析結果の精度が悪くなるから、二律背反の関係となる。データ所有者は、分析スキルを持たない場合が多いため、情報量最小要求と精度維持要求とを同時に満たす適度な情報量が分からない。このため、情報量最小要求と精度維持要求とを同時に満たすことは困難である（第１の課題）。

また、この適度な情報量が分からないために、データ所有者が匿名化前の元データを過度に匿名化し、得られた匿名化データを外部のデータ分析者に出した場合、匿名化データをデータ分析者が十分に分析できず、分析結果の精度が許容範囲を逸脱して低下する。この結果、データ所有者が再度、全ての元データを匿名化し直す状況となり、匿名化処理に膨大な時間がかかる。従って、匿名化最小要求を満たすことができない（第２の課題）。

なお、特許文献１，２に示すように、匿名化前の元データをいかに匿名化するかに焦点が当てられた技術は多々ある。

しかしながら、過度な匿名化データを外部に出して、全ての元データを匿名化し直す状況となる場合に関する２つの課題を同時に解決した技術はない。すなわち、従来の匿名化技術は、上述した２つの課題をもつ点で改良の余地がある。具体的には、従来の匿名化技術は、２つの課題を同時に解決する観点から、匿名化の手間と提供する情報量とを必要最小限にしつつ、分析結果の精度を維持し得るように、改良の余地がある。

本発明が解決しようとする課題は、匿名化の手間と提供する情報量とを必要最小限にしつつ、分析結果の精度を維持し得る匿名化データ変更システムを提供することである。

実施形態の匿名化データ変更システムは、匿名化データを分析する匿名化データ分析システムに通信可能となっている。

前記匿名化データ変更システムは、データベース手段、匿名化手段及び分析精度判定手段を備えている。

前記データベース手段は、各個人に関し、各項目毎に値を含むデータを記憶している。

前記匿名化手段は、前記データの一部を匿名化して前記匿名化データを生成する。

前記分析精度判定手段は、前記匿名化データ分析システムによる前記匿名化データの分析が完了すると、当該分析の精度を判定する。

前記匿名化手段は、項目入力手段、抽出手段、匿名化ポリシ格納手段、匿名化方法決定手段、記録手段、匿名化手段及び制御手段を備えている。

前記項目入力手段は、前記分析に用いられる項目の入力を受け付ける。

前記抽出手段は、前記入力を受け付けた項目に基づいて、当該項目に一致する項目及び値を含むデータを前記データベース手段から抽出する。

前記匿名化ポリシ格納手段は、適用順位、匿名化する項目、及び匿名化方法を互いに関連付けた匿名化ポリシを格納する。

前記匿名化方法決定手段は、前記匿名化ポリシを参照し、前記抽出されたデータ内の項目に一致する前記匿名化する項目に関連付けられた前記匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定する。

前記記録手段は、当該決定した匿名化方法の適用済みを記録する。

前記匿名化手段は、前記抽出されたデータのうち、前記決定された匿名化方法に関連付けられた前記匿名化する項目に一致する項目の値を匿名化することにより、前記抽出されたデータから前記匿名化データを生成する。

前記制御手段は、前記分析精度判定手段から再試行要求を受けると、前記匿名化方法決定手段を再試行するように制御する。

前記分析精度判定手段は、分析結果入力手段、分析精度ポリシ格納手段、分析精度判定手段及び再試行要求手段を備えている。

前記分析結果入力手段は、前記匿名化データ分析システムから前記匿名化データを分析した分析結果の入力を受け付ける。

前記分析精度ポリシ格納手段は、前記分析の精度が満たす条件を示す分析精度ポリシを格納する。

前記分析精度判定手段は、前記受け付けた分析結果が前記分析精度ポリシを満たすか否かを判定する。

前記再試行要求手段は、前記判定の結果、前記満たす場合には処理を終了し、前記否の場合には前記匿名化方法決定手段、前記記録手段、前記匿名化手段、前記分析結果入力手段及び前記分析精度判定手段を再試行するように、前記再試行要求を前記制御手段に出力する。

第１の実施形態に係る匿名化データ変更システム及びその周辺構成の一例を示す模式図である。 同実施形態における匿名化前のデータの一例を示す模式図である。 同実施形態における匿名化ポリシの一例を示す模式図である。 同実施形態における匿名化データの一例を示す模式図である。 同実施形態における他の匿名化データの一例を示す模式図である。 同実施形態における分析精度ポリシの一例を示す模式図である。 同実施形態における動作の一例を説明するためのフローチャートである。 同実施形態における動作の概略を示す模式図である。 第２の実施形態に係る各システムの動作の概略を示す模式図である。 第２の実施形態における匿名化ポリシの一例を示す模式図である。 同実施形態における他の匿名化ポリシの一例を示す模式図である。 同実施形態における分析精度ポリシの一例を示す模式図である。 同実施形態における匿名化前のデータの一例を示す模式図である。 同実施形態における匿名化データの一例を示す模式図である。 同実施形態における他の匿名化データの一例を示す模式図である。 第１及び第２の実施形態の概略を示す模式図である。 第３の実施形態の概略を示す模式図である。 同実施形態に係る匿名化データ変更システム及びその周辺構成の一例を示す模式図である。 同実施形態における動作の一例を説明するためのフローチャートである。

以下、各実施形態について図面を用いて説明する。なお、以下の各装置は、それぞれハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。

＜第１の実施形態＞
図１は第１の実施形態に係る匿名化データ変更システム及び匿名化データ分析システムの構成例を示す模式図である。第１の実施形態は、互いに通信可能な２つのシステムから構成される。第１のシステムは、データ所有者側の匿名化データ変更システム１００であり、第２のシステムは、データ分析者側の匿名化データ分析システム２００である。

ここで、匿名化データ変更システム１００は、元データ格納データベース装置１１０、匿名化装置１２０、分析精度判定装置１３０及び通信部１４０を備えている。なお、匿名化データ変更システム１００は、装置の集合体として実施する場合に限らず、「…システム１００」の語を「…装置１００」と読み替え、「…装置１１０」、「…装置１２０」及び「…装置１３０」の語をそれぞれ「…部１１０」、「…部１２０」及び「…部１３０」と読み替えることにより、単一の装置として実施することも可能である。このことは以下の各実施形態でも同様である。

元データ格納データベース装置（データベース手段）１１０は、図２に示すように、データ所有者が所有する匿名化前のデータ（元データ）Ｄを記憶する機能と、記憶しているデータＤを匿名化装置１２０に渡す機能と、を有する。

データＤは、各個人に関し、各項目毎に値を含んでいる。ここで、各項目としては、例えば、身長、性別、年齢を用いている。なお、この種のデータとしては、例えば、年齢、性別、住所及び病名を個人毎に含むレセプト情報などを使用してもよい。この場合、病名を匿名化せず、年齢、性別、住所などを適宜、匿名化して使用することが、特定の病名に関する分析結果を得る点と、個人の特定を防ぐ点から好ましい。また、データとしては、各列（属性）の情報と、各行（レコード）の情報とからなる表形式のデータを用いてもよい。ここで、各列は各属性に対応し、各行は各個人に対応する。

匿名化装置１２０は、データＤの一部を匿名化して匿名化データを生成する装置である。匿名化装置（匿名化処理手段）１２０は、例えば、入力部（項目入力手段）１２１、データ項目抽出部（抽出手段）１２２、匿名化ポリシ格納部（匿名化ポリシ格納手段）１２３、匿名化方法決定部（匿名化方法決定手段、記録手段）１２４、及び匿名化部（匿名化手段、制御手段）１２５を備えている。

なお、各部は、受けた情報をそのまま送出する場合などには、適宜、一体化して構成してもよい。例えば、入力部１２１及びデータ項目抽出部１２２は、受けた情報をそのまま送出する場合などには一体化してもよい。また、受けた情報をそのまま送出する場合などに各部を適宜一体化してもよいことは、他の各部及び以下の各実施形態でも同様である。

ここで、入力部１２１、データ項目抽出部１２２、匿名化方法決定部１２４及び匿名化部１２５は、例えば、図示しないＣＰＵが、後述する匿名化装置１２０内の各ステップを含むプログラムを実行することにより実現される機能ブロックとなっている。

匿名化ポリシ格納部１２３は、図３に示すように、匿名化ポリシＰＡを保持する機能と、匿名化ポリシＰＡを匿名化方法決定部１２４に渡す機能と、を有する。ここで、匿名化ポリシＰＡは、適用順位、匿名化する項目、匿名化方法、の３つの項目を持つテーブルである。適用順位は、匿名化方法における個人の特定しにくさの順序に相当する。例えば、最も個人を特定しにくい匿名化方法が適用順位１位に関連付けられる。匿名化ポリシＰＡ内の匿名化する項目は、データＤの各項目のうち、匿名化する項目を示している。例えば、匿名化ポリシＰＡ内の適用順位“１位”の匿名化する項目“グルーピング（１０歳刻み）”に基づいて、データＤの項目の値が匿名化されることにより、図４に示す如き、匿名化データＤＡ１が生成される。また、匿名化ポリシＰＡ内の適用順位“２位”の匿名化する項目“グルーピング（５歳刻み）”の匿名化する項目に基づいて、データＤの項目の値が匿名化されることにより、図５に示す如き、匿名化データＤＡ２が生成される。

分析精度判定装置１３０は、匿名化データ分析システム２００による匿名化データＤＡ１，ＤＡ２の分析が完了すると、当該分析の精度を判定する装置である。分析精度判定装置（分析精度判定手段）１３０は、例えば、入力部（分析結果入力手段）１３１、分析精度ポリシ格納部（分析精度ポリシ格納手段）１３２、及び分析精度判定部（分析精度判定手段、再試行要求手段）１３３を備えている。

ここで、入力部１３１及び分析精度判定部１３３は、例えば、図示しないＣＰＵが、後述する分析精度判定装置１３０内の各ステップを含むプログラムを実行することにより実現される機能ブロックとなっている。

分析精度ポリシ格納部１３２は、図６に示すように、分析の精度が満たす条件を示す分析精度ポリシＰＢを保持する機能と、分析精度判定部１３３の要求に応じて分析精度ポリシＰＢを分析精度判定部１３３に渡す機能と、を有する。ここで、分析精度ポリシＰＢは、一意の番号を示すＮｏ、分析精度の条件、の２つの項目を持つテーブルである。

通信部１４０は、匿名化データ変更システム１００と匿名化データ分析システムとの間で情報を通信する機能を有する。

一方、匿名化データ分析システム２００は、匿名化データを分析する装置である。匿名化データ分析システム２００は、例えば、匿名化データ格納データベース装置２１０、分析部２２０、データ要求部２３０、分析結果送信部２４０及び通信部２５０を備えている。

匿名化データ格納データベース装置２１０は、通信部２５０を介して匿名化データ変更システム１００から匿名化データＤＡ１又はＤＡ２を受ける機能と、受けた匿名化データＤＡ１又はＤＡ２を保持する機能と、保持している匿名化データＤＡ１又はＤＡ２を分析部２２０に渡す機能と、を有する。

分析部２２０、データ要求部２３０及び分析結果送信部２４０は、例えば、図示しないＣＰＵが、後述する匿名化データ分析システム２００内の各ステップを含むプログラムを実行することにより実現される機能ブロックとなっている。

通信部２５０は、匿名化データ変更システム１００と匿名化データ分析システム２００との間で情報を通信する機能を有する。

次に、以上のように構成された匿名化データ変更システム及び匿名化データ分析システムの動作について図７のフローチャートを用いて説明する。

匿名化データ分析システムにおいては、データ要求部２３０が、分析に用いられる項目を、通信部２５０及び通信部１４０を介して、匿名化装置１２０の入力部１２１に入力する（ＳＴ１）。

入力部１２１は、この項目の入力を受け付けると、当該項目をデータ項目抽出部１２２に送出する（ＳＴ２）。

データ項目抽出部１２２は、送出された項目に基づいて、当該項目に一致する項目及び値を含むデータを元データ格納データベース装置１１０から抽出すると共に、当該データを匿名化部１２５に送出する（ＳＴ３）。

匿名化部１２５は、ステップＳＴ３で抽出されたデータを受けると、当該データを匿名化方法決定部１２４に送出し、匿名化方法を匿名化方法決定部１２４に問い合わせる（ＳＴ４）。

匿名化方法決定部１２４は、匿名化ポリシ格納部１２３内の匿名化ポリシＰＡを参照し、ステップＳＴ４で送出されたデータ内の項目に一致する匿名化ポリシＰＡ内の匿名化する項目に関連付けられた匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定し、当該決定した匿名化方法を匿名化部１２５に通知する（ＳＴ５）。また、匿名化方法決定部１２４は、当該決定した匿名化方法の適用済みを匿名化ポリシ格納部１２３に記録する。

匿名化部１２５は、ステップＳＴ３で抽出されたデータのうち、ステップＳＴ５で決定された匿名化方法に関連付けられた匿名化ポリシＰＡ内の匿名化する項目に一致する項目の値を匿名化することにより、当該抽出されたデータから匿名化データを生成する。しかる後、匿名化部１２５は、生成した匿名化データを通信部１４０及び通信部２５０を介してデータ要求部２３０に送信する（ＳＴ６）。匿名化部１２５は、必要に応じて、追加の匿名化データを既存の匿名データに匿名データ格納データベース装置２１０が反映できるよう、ステップＳＴ６で送信するデータに行を一意に指定できるＩＤを付加する処理を実行してもよい。また、匿名化部１２５は、生成した匿名化データを保持する。

データ要求部２３０は、ステップＳＴ６で受けた匿名化データを匿名化データ格納データベース装置２１０に保存する（ＳＴ７）。

分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データを、明示しない分析方法を用いて分析し、得られた分析結果を分析結果送信部２４０に送出する（ＳＴ８）。

分析結果送信部２４０は、ステップＳＴ８で送出された分析結果を受けると、この分析結果を、通信部２５０及び通信部１４０を介して分析精度判定装置１３０内の入力部１３１に入力する（ＳＴ９）。

入力部１３１は、匿名化データ分析システム２００から匿名化データを分析した分析結果の入力を受け付けると、当該受け付けた分析結果を分析精度判定部１３３に送出する（ＳＴ１０）。

分析精度判定部１３３は、ステップＳＴ１０で受け付けた分析結果が分析精度ポリシ格納部１３２内の分析精度ポリシＰＢを満たすか否かを判定する（ＳＴ１１）。判定の結果、満たす場合（合格）には処理を終了する。否の場合（不合格）には、ステップＳＴ１２に進む。

分析精度判定部１３３は、ステップＳＴ１１の判定結果が否の場合に、匿名化方法決定部１２４、匿名化部１２５、入力部１３１及び分析精度判定部１３３を再試行（リトライ）するように、匿名化方法決定部１２４を制御する。具体的には、分析精度判定部１３３は、再度匿名化方法を問い合わせるための再試行要求を匿名化部１２５に出力する（ＳＴ１２）。以下、ステップＳＴ４〜ＳＴ１１の処理が再試行される。

次に、上述した各ステップの具体例について、図２乃至図６に示した各データの模式図及び図８に示す動作の模式図を用いて述べる。なお、本実施形態での分析は、番号ｉで識別可能なｎ人の未成年者における年齢ｘと身長ｙの相関係数を求める処理とする。（ｘ，ｙ）＝｛（ｘ_ｉ，ｙ_ｉ）｝（ｉ＝１，２，…，ｎ）において、相関係数は以下の式で求められる。

ステップＳＴ１において、データ要求部２３０は、通信部２５０及び通信部１４０を介して、入力部１２１に分析に必要なデータを要求する。ここでの要求は「項目（身長、性別、年齢）」である。

ステップＳＴ２において、入力部１２１は、データ項目抽出部１２２にステップＳＴ１で受けた要求を渡す。この要求は「項目（身長、性別、年齢）」である。

ステップＳＴ３において、データ項目抽出部１２２は、元データ格納データベース装置１１０から、ステップＳＴ２で受けた要求のデータを抽出し、当該抽出したデータを匿名化部１２５に渡す。渡されたデータは「項目（身長、性別、年齢）」の全行である。

ステップＳＴ４において、匿名化部１２５は、匿名化方法決定部１２４に匿名化方法を問い合わせる。ここで問い合わせる内容は「項目（身長、性別、年齢）に関する匿名化方法」である。

ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡを受けると、匿名化方法を決定して匿名化部１２５に通知する。ここで匿名化方法決定部１２４は、受けた匿名化ポリシＰＡのうち一番適用順位が高い「グルーピング（１０歳刻み）」を匿名化部１２５に通知する。同時に匿名化ポリシ格納部１２３は適用順位１位を適用したことを記録する。

ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。しかる後、匿名化部１２５は、匿名化データＤＡ１（年齢の列が匿名化した箇所）を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ１を保持する。なお、データ要求部２３０に渡されるデータ項目は「身長、性別、年齢」である。

ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ１を匿名化データ格納データベース装置２１０に保存する。

ステップＳＴ８において、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ１に対する分析として、身長と年齢の相関係数を求める。この場合、年齢が１０代のみになり、［数１］に示した数式で分母が０となり、相関係数を求めることができない。

ステップＳＴ９において、分析結果送信部２４０は、分析部２２０からステップＳＴ８で分析した結果（計算できない旨）を受けると、当該分析結果を、通信部２５０及び通信部１４０を介し、入力部１３１に送信する。

ステップＳＴ１０において、入力部１３１は、ステップＳＴ９で受けた分析結果を分析精度判定部１３３に渡す。

ステップＳＴ１１において、分析精度判定部１３３は、分析精度ポリシ格納部１３２から分析精度ポリシＰＢを受けると、分析精度ポリシＰＢに基づいて、分析結果の精度が十分か否かを判定する。この分析結果（計算できない旨）は、分析精度ポリシＰＢのうちＮｏ．１（１０代の身長は、相関係数が０以上）を満たさないため、判定結果が不合格となる。よって、ステップＳＴ４から処理が繰り返される。

ステップＳＴ４において、匿名化部１２５は、分析精度判定部１３３から再試行要求を受けると、匿名化方法決定部１２４に匿名化方法を問い合わせる。問い合わせの内容は「項目（年齢）の適用順位を下げた匿名化方法」である。

ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡを受けると、匿名化方法を決定して匿名化部１２５に通知する。ここで匿名化方法決定部１２４は、受けた匿名化ポリシＰＡのうち、記録していた匿名化方法（適用順位１位）の次に適用順位の高い「グルーピング（５歳刻み）」を匿名化部１２５に通知する。同時に匿名化ポリシ格納部１２３は適用順位２位を適用したことを記録する。

ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。しかる後、匿名化部１２５は、匿名化データＤＡ２（太字部分が匿名化した箇所）を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ２を保持する。なお、データ要求部２３０に渡されるデータ項目は、匿名化を行った「年齢」のみである。

ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ２を匿名化データ格納データベース装置２１０に保存する。

ステップＳＴ８において、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ２を分析する。この分析の結果、相関係数は０と求められる。

ステップＳＴ９において、分析結果送信部２４０は、分析部２２０からステップＳＴ８の分析結果（相関係数＝０）を受けると、当該分析結果を、通信部２５０及び通信部１４０を介し、入力部１３１に送信する。

ステップＳＴ１０において、入力部１３１は、ステップＳＴ９で受けた分析結果（相関係数＝０）を分析精度判定部１３３に渡す。

ステップＳＴ１１において、分析精度判定部１３３は、分析精度ポリシ格納部１３２から分析精度ポリシＰＢを受けると、分析精度ポリシＰＢに基づいて、分析結果の精度が十分か否かを判定する。この分析結果（相関係数＝０）は、分析精度ポリシＰＢのうちＮｏ．１（１０代の身長は、相関係数が０以上）を満たし、Ｎｏ．２（２０代の身長は、相関係数が−０．１以上）が無関係のため、判定結果が合格となる。このため、分析精度判定部１３３は、処理を終了する。

上述したように本実施形態によれば、未適用の匿名化方法のうち、最高の適用順位の匿名化方法を決定し、当該決定した匿名化方法の適用済みを記録し、抽出されたデータのうち、当該決定された匿名化方法に関する匿名化する項目の値を匿名化して匿名化データを生成し、分析精度が分析精度ポリシを満たさないことにより再試行要求を受けると、匿名化方法の決定を再試行する構成により、匿名化の手間と提供する情報量とを必要最小限にしつつ、分析結果の精度を維持することができる。

補足すると、データ全体を匿名化するのではなく、データのうちの匿名化する項目の値を匿名化する構成により、匿名化の手間を必要最小限にすることができる。

また、匿名化データの分析結果が分析精度ポリシを満たさない場合には、匿名化方法の適用順位を下げる構成により、提供する情報量を必要最小限にしつつ、分析結果の精度を維持することができる。

＜第２の実施形態＞
次に、第２の実施形態に係る匿名化データ変更システムについて説明する。第１の実施形態は、図８に示したように、匿名化データの列の情報に再度匿名化を行う例であった。これに対し、第２の実施形態は、図９に示すように、匿名化データの行の情報に再度匿名化を行う例である。

これに伴い、第２の実施形態は、図１０及び図１１に示す匿名化ポリシＰＡ１，ＰＡ２を匿名化ポリシ格納部１２３が格納し、図１２に示す分析精度ポリシＰＢ’を分析精度ポリシ格納部１３２が格納し、図１３に示す匿名化前のデータＤ’を元データ格納データベース装置１１０が格納している構成とする。匿名化ポリシＰＡ１は、前述した匿名化ポリシＰＡと同一である。匿名化ポリシＰＡ２は、匿名化ポリシＰＡ１と同様に、適用順位、匿名化する項目、匿名化方法、の３つの項目を持つテーブルである。但し、匿名化ポリシＰＡ２は、匿名化ポリシＰＡ１とは異なり、匿名化する項目には「行」が設定されており、匿名化方法には「リサンプリング（＊％）」が設定されている（＊＝４０，６０，８０）。また、２つの匿名化ポリシＰＡ１，ＰＡ２があるのは、匿名化を行う項目ごとに１つの匿名化ポリシＰＡｉ（但し、ｉ＝１，２）を用意しているためである。

なお、匿名化ポリシＰＡ１，ＰＡ２、分析精度ポリシＰＢ’及びデータＤ’以外の構成及び処理の流れは、第１の実施形態と同様である。

次に、以上のように構成された匿名化データ変更システム及び匿名化データ分析システムの動作について、前述した図７のフローチャートを用いて説明する。以下の説明では、既にデータＤ’を匿名化ポリシＰＡ１の提供順位３位のグルーピング（３歳刻み）と匿名化ポリシＰＡ２の適用順位１位のリサンプリング（４０％）で匿名化した匿名化データＤＡ１’（図１４）が、匿名化データ格納データベース装置２１０に格納されているものとする。

ステップＳＴ１において、データ要求部２３０は、通信部２５０及び通信部１４０を介して、入力部１２１に分析に必要なデータを要求する。ここでは、「行」データを要求する。

ステップＳＴ２において、入力部１２１は、データ項目抽出部１２２にステップＳＴ１で受けた要求を渡す。この要求は「行」のデータである。

ステップＳＴ３において、データ項目抽出部１２２は、元データ格納データベース装置１１０から、ステップＳＴ２で受けた要求のデータを抽出し、当該抽出したデータを匿名化部１２５に渡す。渡されたデータは「すべて」である。

ステップＳＴ４において、匿名化部１２５は、匿名化方法決定部１２４に匿名化方法を問い合わせる。問い合わせの内容は「行」である。

ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡ１，ＰＡ２を受けると、匿名化方法を決定して匿名化部１２５に通知する。また、ステップＳＴ４で問い合わせの内容が「行」の場合、匿名化方法決定部１２４は、保持している過去に行った匿名化処理の情報から、「リサンプリング（４０％）」と「グルーピング（３歳刻み）」を取得する。匿名化方法決定部１２４は、受けた匿名化ポリシＰＡ１，ＰＡ２のうち、適用順位２位の「リサンプリング（６０％）」と、適用順位３位の「グルーピング（３歳刻み）」を、匿名化部１２５に通知する。

ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。ここでのデータは、リサンプリングが前回の４０％から６０％に増えたことにより、当該データの行数が増える。また、匿名化部１２５が保持している前回送付した匿名化データＤＡ１’との差分をとる。この差分データにグルーピング（３歳刻み）の匿名化処理を行う。この匿名化処理により、図１５に示すように、匿名化データＤＡ２’が生成される。しかる後、匿名化部１２５は、匿名化データＤＡ２’（年齢の列が匿名化した箇所）を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ２’を保持する。

ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ２’を匿名化データ格納データベース装置２１０に保存する。

ステップＳＴ８において、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ１’，ＤＡ２’に対する分析として、身長と年齢の相関係数を求める。ここで、相関係数は約０．８として求められる。

ステップＳＴ９において、分析結果送信部２４０は、分析部２２０からステップＳＴ８で分析された結果（相関係数＝約０．８）を受けると、当該分析結果を、通信部２５０及び通信部１４０を介し、入力部１３１に渡す。

ステップＳＴ１０において、入力部１３１は、ステップＳＴ９で受けた分析結果（相関係数＝約０．８）を分析精度判定部１３３に渡す。

ステップＳＴ１１において、分析精度判定部１３３は、分析精度ポリシ格納部１３２から分析精度ポリシＰＢ’を受けると、分析精度ポリシＰＢ’に基づいて、分析結果の精度が十分か否かを判定する。この分析結果（相関係数＝約０．８）は、分析精度ポリシＰＢ’のＮｏ．１（１０代の身長は、相関係数が０以上）とＮｏ．３（データ数が３以上）を満たし、Ｎｏ．２（２０代の身長は、相関係数が−０．１以上）が無関係のため、判定結果が合格となる。このため、分析精度判定部１３３は、処理を終了する。

上述したように本実施形態によれば、再度行う匿名化処理の対象を一度目の匿名化処理の差分データとした構成により、第１の実施形態の効果に加え、匿名化処理の処理時間を削減することができる。

＜第３の実施形態＞
次に、第３の実施形態に係る匿名化データ変更システムについて説明する。第１及び第２の実施形態は、図１６に示すように、匿名化データ変更システム１００内で分析精度を判定する例であった。これに対し、第３の実施形態は、図１７に示すように、匿名化データ分析システム２００内で分析精度を判定する例である。

図１８は第３の実施形態に係る匿名化データ変更システム及び匿名化データ分析システムの構成例を示す模式図であり、図１と略同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。

すなわち、第３の実施形態の構成は、第１及び第２の実施形態の構成を示す図１に比べ、匿名化データ変更システム１００内の分析精度判定装置１３０を省略する点と、匿名化データ分析システム２００内に分析精度判定装置２６０が配置される点と、匿名化データ分析システム２００内の分析結果送信部２４０を省略する点で異なっている。

また、各部の機能は概ね同じであるが、匿名化データ変更システム１００内の匿名化部１２５が再試行要求を匿名化データ分析システム２００から受ける点と、分析精度判定装置２６０が匿名化データを匿名化データ格納データベース装置２１０から受ける点と、分析精度判定装置２６０が再試行要求を匿名化データ変更システム１００に送信する点とで異なっている。

なお、分析精度判定装置２６０は、前述した分析精度判定装置１３０と同様の装置であり、前述同様の入力部２６１、分析精度ポリシ格納部２６２及び分析精度判定部２６３を備えている。

次に、以上のように構成された匿名化データ変更システム及び匿名化データ分析システムの動作について図１９のフローチャートを用いて説明する。

匿名化データ分析システムにおいては、データ要求部２３０が、分析に用いられる項目を、通信部２５０及び通信部１４０を介して、匿名化装置１２０の入力部１２１に入力する（ＳＴ１）。

入力部１２１は、この項目の入力を受け付けると、当該項目をデータ項目抽出部１２２に送出する（ＳＴ２）。

データ項目抽出部１２２は、送出された項目に基づいて、当該項目に一致する項目及び値を含むデータを元データ格納データベース装置１１０から抽出すると共に、当該データを匿名化部１２５に送出する（ＳＴ３）。

匿名化部１２５は、ステップＳＴ３で抽出されたデータを受けると、当該データを匿名化方法決定部１２４に送出し、匿名化方法を匿名化方法決定部１２４に問い合わせる（ＳＴ４）。

匿名化方法決定部１２４は、匿名化ポリシ格納部１２３内の匿名化ポリシＰＡを参照し、ステップＳＴ４で送出されたデータ内の項目に一致する匿名化ポリシＰＡ内の匿名化する項目に関連付けられた匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定し、当該決定した匿名化方法を匿名化部１２５に通知する（ＳＴ５）。また、匿名化方法決定部１２４は、当該決定した匿名化方法の適用済みを匿名化ポリシ格納部１２３に記録する。

匿名化部１２５は、ステップＳＴ３で抽出されたデータのうち、ステップＳＴ５で決定された匿名化方法に関連付けられた匿名化ポリシＰＡ内の匿名化する項目に一致する項目の値を匿名化することにより、当該抽出されたデータから匿名化データを生成する。しかる後、匿名化部１２５は、生成した匿名化データを通信部１４０及び通信部２５０を介してデータ要求部２３０に送信する（ＳＴ６）。匿名化部１２５は、必要に応じて、追加の匿名化データを既存の匿名データに匿名データ格納データベース装置２１０が反映できるよう、ステップＳＴ６で送信するデータに行を一意に指定できるＩＤを付加する処理を実行してもよい。また、匿名化部１２５は、生成した匿名化データを保持する。

データ要求部２３０は、ステップＳＴ６で受けた匿名化データを匿名化データ格納データベース装置２１０に保存する（ＳＴ７）。なお、以上のステップＳＴ１〜ＳＴ７の処理は、第１の実施形態（図７）と同様である。

分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データを、明示しない分析方法を用いて分析する（ＳＴ８ｃ）。

分析部２２０は、ステップＳＴ８ｃにより得られた分析結果を分析精度判定装置２６０内の入力部２６１に入力する（ＳＴ９ｃ）。

入力部２６１は、分析結果の入力を受け付けると、当該受け付けた分析結果を分析精度判定部２６３に送出する（ＳＴ１０ｃ）。

分析精度判定部２６３は、ステップＳＴ１０ｃで受け付けた分析結果が分析精度ポリシ格納部２６２内の分析精度ポリシＰＢを満たすか否かを判定する（ＳＴ１１ｃ）。判定の結果、満たす場合（合格）には処理を終了する。否の場合（不合格）には、ステップＳＴ１２ｃに進む。

分析精度判定部２６３は、ステップＳＴ１１ｃの判定結果が否の場合に、匿名化方法決定部１２４、匿名化部１２５、入力部２６１及び分析精度判定部２６３を再試行するように、匿名化方法決定部１２４を制御する。具体的には、分析精度判定部２６３は、通信部２５０及び通信部１４０を介し、再度匿名化方法を問い合わせるための再試行要求を匿名化部１２５に出力する（ＳＴ１２ｃ）。以下、ステップＳＴ４〜ＳＴ１１ｃの処理が再試行される。

再試行中、例えば、ステップＳＴ５においては、匿名化方法決定部１２４は、匿名化ポリシＰＡ及び適用済みの記録に基づいて、前回の最高の適用順位よりも１位だけ低い適用順位に関連付けられた匿名化方法を決定する。また、匿名化方法決定部１２４は、当該低い順位に関連付けられた匿名化方法の適用済みを匿名化ポリシ格納部１２３に記録する。

また、再試行中、例えば、ステップＳＴ６においては、匿名化部１２５は、当該低い順位に関連付けられた匿名化方法に基づいて、新たな匿名化データを生成する。以下、この新たな匿名化データに基づき、分析が再試行され、分析結果が判定されることになる。

次に、上述した各ステップの具体例について、図２乃至図６に示した各データの模式図を用いて述べる。

ステップＳＴ１において、データ要求部２３０は、通信部２５０及び通信部１４０を介して、入力部１２１に分析に必要なデータを要求する。ここでの要求は「項目（身長、性別、年齢）」である。

ステップＳＴ２において、入力部１２１は、データ項目抽出部１２２にステップＳＴ１で受けた要求を渡す。この要求は「項目（身長、性別、年齢）」である。

ステップＳＴ３において、データ項目抽出部１２２は、元データ格納データベース装置１１０から、ステップＳＴ２で受けた要求のデータを抽出し、当該抽出したデータを匿名化部１２５に渡す。渡されたデータは「項目（身長、性別、年齢）」の全行である。

ステップＳＴ４において、匿名化部１２５は、匿名化方法決定部１２４に匿名化方法を問い合わせる。ここで問い合わせる内容は「項目（身長、性別、年齢）に関する匿名化方法」である。

ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシを受けると、匿名化方法を決定して匿名化部１２５に通知する。ここで匿名化方法決定部１２４は、受け取った匿名化ポリシＰＡのうち一番適用順位が高い「グルーピング（１０歳刻み）」を匿名化部１２５に通知する。同時に匿名化ポリシ格納部１２３は適用順位１位を適用したことを記録する。

ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。しかる後、匿名化データＤＡ１（年齢の列が匿名化した箇所）を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ１を保持する。なお、データ要求部２３０に渡されるデータ項目は「身長、性別、年齢」である。

ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ１を、匿名化データ格納データベース装置２１０に保存する。

ステップＳＴ８ｃにおいて、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ１に対する分析として、身長と年齢の相関係数を求める。この場合、年齢が１０代のみになり、前述同様に、相関係数を求めることができない。

ステップＳＴ９ｃにおいて、分析部２２０は、ステップＳＴ８ｃで分析した結果（計算できない旨）を分析精度判定装置２６０内の入力部２６１に入力する。

ステップＳＴ１０ｃにおいて、入力部２６１は、この分析結果を分析精度判定部２６３に送出する。

ステップＳＴ１１ｃにおいて、分析精度判定部２６３は、分析精度ポリシ格納部２６２から分析精度ポリシＰＢを受けると、分析精度ポリシＰＢに基づいて、分析結果の精度が十分か否かを判定する。この分析結果（計算できない旨）は、分析精度ポリシＰＢのうちＮｏ．１（１０代の身長は、相関係数が０以上）を満たさないため、判定結果が不合格となる。よって、ステップＳＴ４から処理が繰り返される。

ステップＳＴ４において、匿名化部１２５は、分析精度判定部２６３から再試行要求を受けると、匿名化方法決定部１２４に匿名化方法を問い合わせる。問い合わせの内容は「項目（年齢）の適用順位を下げた匿名化方法」である。

ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡを受けると、匿名化方法を決定して匿名化部１２５に通知する。ここで匿名化方法決定部１２４は、受けた匿名化ポリシＰＡのうち、記録していた匿名化方法（適用順位１位）の次に適用順位の高い「グルーピング（５歳刻み）」を匿名化部１２５に通知する。同時に、匿名化方法決定部１２４は、適用順位２位の適用済みを匿名化ポリシ格納部１２３に記録する。

ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。しかる後、匿名化部１２５は、匿名化データＤＡ２を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ２を保持する。なお、データ要求部２３０に渡されるデータ項目は、匿名化を行った「年齢」のみである。

ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ２を匿名化データ格納データベース装置２１０に保存する。

ステップＳＴ８ｃにおいて、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ２を分析する。この分析の結果、相関係数は０と求められる。

ステップＳＴ９ｃにおいて、分析部２２０は、ステップＳＴ８の分析結果（相関係数＝０）を分析精度判定装置２６０内の入力部２６１に入力する。

ステップＳＴ１０ｃにおいて、入力部２６１は、この分析結果（相関係数＝０）を分析精度判定部２６３に送出する。

ステップＳＴ１１ｃにおいて、分析精度判定部２６３は、分析精度ポリシ格納部２６２から分析精度ポリシＰＢを受けると、分析精度ポリシＰＢに基づいて、分析結果の精度が十分か否かを判定する。この分析結果（相関係数＝０）は、分析精度ポリシＰＢのうちＮｏ．１（１０代の身長は、相関係数が０以上）を満たし、Ｎｏ．２（２０代の身長は、相関係数が−０．１以上）が無関係のため、判定結果が合格となる。このため、分析精度判定部２６３は、処理を終了する。

上述したように本実施形態によれば、匿名化データ変更システム１００内の分析精度判定装置１３０に代えて、匿名化データ分析システム２００内に分析精度判定装置２６０を配置した構成としても、第１の実施形態と同様の効果を得ることができる。

＜第４の実施形態＞
次に、第４の実施形態に係る匿名化データ変更システムについて説明する。第３の実施形態は、第１の実施形態と同様に、匿名化データの列の情報に再度匿名化を行う例であった。これに対し、第４の実施形態は、第２の実施形態と同様に、匿名化データの行の情報に再度匿名化を行う例である。

これに伴い、第４の実施形態は、図１０及び図１１に示す匿名化ポリシＰＡ１，ＰＡ２を匿名化ポリシ格納部１２３が格納し、図１２に示す分析精度ポリシＰＢ’を分析精度ポリシ格納部１３２が格納し、図１３に示す匿名化前のデータＤ’を元データ格納データベース装置１１０が格納している構成とする。なお、２つの匿名化ポリシＰＡ１，ＰＡ２があるのは、匿名化を行う項目ごとに１つの匿名化ポリシＰＡｉ（但し、ｉ＝１，２）を用意しているためである。

なお、匿名化ポリシＰＡ１，ＰＡ２、分析精度ポリシＰＢ’及びデータＤ’以外の構成及び処理の流れは、第３の実施形態と同様である。

次に、以上のように構成された匿名化データ変更システム及び匿名化データ分析システムの動作について、前述した図１９のフローチャートを用いて説明する。以下の説明では、既にデータＤ’を匿名化ポリシＰＡ１の提供順位３位のグルーピング（３歳刻み）と匿名化ポリシＰＡ２の適用順位１位のリサンプリング（４０％）で匿名化した匿名化データＤＡ１’（図１４）が、匿名化データ格納データベース装置２１０に格納されているものとする。

ステップＳＴ１において、データ要求部２３０は、通信部２５０及び通信部１４０を介して、入力部１２１に分析に必要なデータを要求する。ここでは、「行」データを要求する。

ステップＳＴ２において、入力部１２１は、データ項目抽出部１２２にステップＳＴ１で受けた要求を渡す。この要求は「行」のデータである。

ステップＳＴ３において、データ項目抽出部１２２は、元データ格納データベース装置１１０から、ステップＳＴ２で受けた要求のデータを抽出し、当該抽出したデータを匿名化部１２５に渡す。渡されたデータは「すべて」である。

ステップＳＴ４において、匿名化部１２５は、匿名化方法決定部１２４に匿名化方法を問い合わせる。問い合わせの内容は「行」である。

ステップＳＴ５において、匿名化方法決定部１２４は、匿名化ポリシ格納部１２３から匿名化ポリシＰＡ１，ＰＡ２を受けると、匿名化方法を決定して匿名化部１２５に通知する。また、ステップＳＴ４で問い合わせの内容が「行」の場合、匿名化方法決定部１２４は、保持している過去に行った匿名化処理の情報から、「リサンプリング（４０％）」と「グルーピング（３歳刻み）」を取得する。匿名化方法決定部１２４は、受けた匿名化ポリシＰＡ１，ＰＡ２のうち、適用順位２位の「リサンプリング（６０％）」と、適用順位３位の「グルーピング（３歳刻み）」を、匿名化部１２５に通知する。

ステップＳＴ６において、匿名化部１２５は、ステップＳＴ５で通知された匿名化方法に則り匿名化処理を実施する。ここでのデータは、リサンプリングが前回の４０％から６０％になったことにより、当該データの行数が増える。また、匿名化部１２５が保持している前回送付した匿名化データＤＡ１’との差分をとる。この差分データにグルーピング（３歳刻み）の匿名化処理を行う。この匿名化処理により、図１５に示したように、匿名化データＤＡ２’が生成される。しかる後、匿名化部１２５は、匿名化データＤＡ２’を、通信部１４０及び通信部２５０を介し、データ要求部２３０に渡す。また匿名化部１２５は、渡した匿名化データＤＡ２’を保持する。

ステップＳＴ７において、データ要求部２３０は、ステップＳＴ６で受けた匿名化データＤＡ２’を匿名化データ格納データベース装置２１０に保存する。

ステップＳＴ８ｃにおいて、分析部２２０は、匿名化データ格納データベース装置２１０に保存された匿名化データＤＡ１’，ＤＡ２’に対する分析として、身長と年齢の相関係数を求める。ここで、相関係数は約０．８として求められる。

ステップＳＴ９ｃにおいて、分析部２２０は、ステップＳＴ８ｃで分析した結果（相関係数＝約０．８）を分析精度判定装置２６０内の入力部２６１に入力する。

ステップＳＴ１０ｃにおいて、入力部２６１は、この分析結果（相関係数＝約０．８）を分析精度判定部２６３に送出する。

ステップＳＴ１１ｃにおいて、分析精度判定部２６３は、分析精度ポリシ格納部２６２から分析精度ポリシＰＢ’を受けると、分析精度ポリシＰＢ’に基づいて、分析結果の精度が十分か否かを判定する。この分析結果（相関係数＝約０．８）は、分析精度ポリシＰＢ’のＮｏ．１（１０代の身長は、相関係数が０以上）とＮｏ．３（データ数が３以上）を満たし、Ｎｏ．２（２０代の身長は、相関係数が−０．１以上）が無関係のため、判定結果が合格となる。このため、分析精度判定部２６３は、処理を終了する。

上述したように本実施形態によれば、匿名化データ分析システム２００内に分析精度判定装置２６０を配置し、且つ再度行う匿名化処理の対象を一度目の匿名化処理の差分データとした構成により、第２及び第３の実施形態の効果を同時に得ることができる。

以上説明した少なくとも一つの実施形態によれば、未適用の匿名化方法のうち、最高の適用順位の匿名化方法を決定し、当該決定した匿名化方法の適用済みを記録し、抽出されたデータのうち、当該決定された匿名化方法に関する匿名化する項目の値を匿名化して匿名化データを生成し、分析精度が分析精度ポリシを満たさないことにより再試行要求を受けると、匿名化方法の決定を再試行する構成により、匿名化の手間と提供する情報量とを必要最小限にしつつ、分析結果の精度を維持することができる。

なお、上記の各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、各実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記の各実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

なお、各実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の各実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、各実施形態におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１００…匿名化データ変更システム、１１０…元データ格納データベース装置、１２０…匿名化装置、１２１，１３１，２６１…入力部、１２２…データ項目抽出部、１２３…匿名化ポリシ格納部、１２４…匿名化方法決定部、１２５…匿名化部、１３０，２６０…分析精度判定装置、１３２，２６２…分析精度ポリシ格納部、１３３，２６３…分析精度判定部、１４０，２５０…通信部、２００…匿名化データ分析システム、２１０…匿名化データ格納データベース装置、２２０…分析部、２３０…データ要求部、２４０…分析結果送信部、Ｄ，Ｄ’…データ、ＰＡ，ＰＡ１，ＰＡ２…匿名化ポリシ、ＤＡ１，ＤＡ２，ＤＡ１’，ＤＡ２’…匿名化データ、ＰＢ，ＰＢ’…分析精度ポリシ。

Claims (2)

1. 匿名化データを分析する匿名化データ分析システムに通信可能な匿名化データ変更システムであって、
   各個人に関し、各項目毎に値を含むデータを記憶したデータベース手段と、
   前記データの一部を匿名化して前記匿名化データを生成する匿名化手段と、
   前記匿名化データ分析システムによる前記匿名化データの分析が完了すると、当該分析の精度を判定する分析精度判定手段と、
   を備え、
   前記匿名化手段は、
   前記分析に用いられる項目の入力を受け付ける項目入力手段と、
   前記入力を受け付けた項目に基づいて、当該項目に一致する項目及び値を含むデータを前記データベース手段から抽出する抽出手段と、
   適用順位、匿名化する項目、及び匿名化方法を互いに関連付けた匿名化ポリシを格納する匿名化ポリシ格納手段と、
   前記匿名化ポリシを参照し、前記抽出されたデータ内の項目に一致する前記匿名化する項目に関連付けられた前記匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定する匿名化方法決定手段と、
   当該決定した匿名化方法の適用済みを記録する記録手段と、
   前記抽出されたデータのうち、前記決定された匿名化方法に関連付けられた前記匿名化する項目に一致する項目の値を匿名化することにより、前記抽出されたデータから前記匿名化データを生成する匿名化手段と、
   前記分析精度判定手段から再試行要求を受けると、前記匿名化方法決定手段を再試行するように制御する制御手段と、
   を備え、
   前記分析精度判定手段は、
   前記匿名化データ分析システムから前記匿名化データを分析した分析結果の入力を受け付ける分析結果入力手段と、
   前記分析の精度が満たす条件を示す分析精度ポリシを格納する分析精度ポリシ格納手段と、
   前記受け付けた分析結果が前記分析精度ポリシを満たすか否かを判定する分析精度判定手段と、
   前記判定の結果、前記満たす場合には処理を終了し、前記否の場合には前記匿名化方法決定手段、前記記録手段、前記匿名化手段、前記分析結果入力手段及び前記分析精度判定手段を再試行するように、前記再試行要求を前記制御手段に出力する再試行要求手段と、
   を備えたことを特徴とする匿名化データ変更システム。
2. 匿名化データを分析する匿名化データ分析システムに通信可能な匿名化データ変更システムであって、
   各個人に関し、各項目毎に値を含むデータを記憶したデータベース手段と、
   前記データの一部を匿名化して前記匿名化データを生成する匿名化処理手段と、
   を備え、
   前記匿名化処理手段は、
   前記分析に用いられる項目の入力を受け付ける項目入力手段と、
   前記入力を受け付けた項目に基づいて、当該項目に一致する項目及び値を含むデータを前記データベース手段から抽出する抽出手段と、
   適用順位、匿名化する項目、及び匿名化方法を互いに関連付けた匿名化ポリシを格納する匿名化ポリシ格納手段と、
   前記匿名化ポリシを参照し、前記抽出されたデータ内の項目に一致する前記匿名化する項目に関連付けられた前記匿名化方法であって未適用の匿名化方法のうち、最高の適用順位に関連付けられた匿名化方法を決定する匿名化方法決定手段と、
   当該決定した匿名化方法の適用済みを記録する記録手段と、
   前記抽出されたデータのうち、前記決定された匿名化方法に関連付けられた前記匿名化する項目に一致する項目の値を匿名化することにより、前記抽出されたデータから前記匿名化データを生成する匿名化手段と、
   前記匿名化データ分析システムから再試行要求を受けると、前記匿名化決定手段を再試行するように制御する制御手段と、
   を備え、
   前記制御手段は、前記匿名化データ分析システムによる前記匿名化データの分析結果が所定の精度を満たさない場合に、当該匿名化データ分析システムから再試行要求を受けると、前記匿名化方法決定手段を再試行するように制御し、
   前記匿名化方法決定手段は、前記制御手段から再試行するように制御されると、前記匿名化ポリシ及び前記適用済みの記録に基づいて、前記最高の適用順位よりも１位だけ低い適用順位に関連付けられた匿名化方法を決定し、
   前記記録手段は、当該低い順位に関連付けられた匿名化方法の適用済みを記録し、
   前記匿名化手段は、当該低い順位に関連付けられた匿名化方法に基づいて、新たな匿名化データを生成することを特徴とする匿名化データ変更システム。

Images