JP5839460B2

JP5839460B2 - 公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラム

Info

Publication number: JP5839460B2
Application number: JP2011221532A
Authority: JP
Inventors: 清本　晋作; 晋作清本; 和英福島; 三宅　優; 優三宅
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2011-10-06
Filing date: 2011-10-06
Publication date: 2016-01-06
Anticipated expiration: 2031-10-06
Also published as: JP2013084027A

Description

本発明は、医療情報などの公開情報に対するプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムに関する。

従来より、多くのデータに基づいて、統計処理を行って、例えば、特定の病気にかかりやすい年代、性別、地域、人種といった情報を広く公開して、その傾向分析を行い、その対策に用いる場合がある。

ところが、データを公開する場合において、データの所有者のプライバシーを保護するため、データの変形を行う必要がある。これまでの手法においては、擬ＩＤ情報に対して最適ｋ−匿名性を満たすための匿名化手法を提案していた（例えば、非特許文献１参照。）。

Ｂ．ＦｕｎｇａｎｄＫ．ＷａｎｇａｎｄＰ．Ｙｕ，"Ｔｏｐ−ｄｏｗｎｓｐｅｃｉａｌｉｚａｔｉｏｎｆｏｒｉｎｆｏｒｍａｔｉｏｎａｎｄｐｒｉｖａｃｙｐｒｅｓｅｒｖａｔｉｏｎ"ＰｒｏｃｏｆＩＣＤＥ２００５ｐｐ．２０５−２１６

しかしながら、重要情報と呼ばれる擬ＩＤ情報の属性情報についても、複数の重要情報の属性値の組合せからデータ所有者を特定できる可能性があるという問題点があった。

そこで、本発明は、上述の課題に鑑みてなされたものであり、重要情報に対する匿名化を行う公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラムを提供することを目的とする。

発明者は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。

（１）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護装置であって、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する分類手段と、前記重要情報の属性値を匿名化する匿名化手段と、を備え、前記匿名化手段が、前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、該初期処理後の表から２つの前記重要情報を１組としたすべてのペアを抽出するペア抽出手段と、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する表作成手段と、を備え、該作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記ペア抽出手段、グループ抽出手段および表作成手段の処理を行い、変形した表を出力することを特徴とする公開情報のプライバシー保護装置を提案している。

（２）本発明は、ユーザからのデータを公開する場合の公開情報のプライバシー保護装置であって、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する分類手段と、前記重要情報の属性値を匿名化する匿名化手段と、を備え、前記匿名化手段が、前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、該初期処理後の表から２つの前記重要情報を１組としたすべてのペアを抽出するペア抽出手段と、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する表作成手段と、を備え、該作成した表がｋ個未満の属性値の組み合わせをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力することを特徴とする公開情報のプライバシー保護装置を提案している。

（３）本発明は、分類手段と、初期化処理手段と、ペア抽出手段と、グループ抽出手段と、表作成手段と、条件判定手段と、を備えた公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、前記分類手段が、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、前記初期化処理手段が、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、前記ペア抽出手段が、該第２のステップ後の表から２つの前記重要情報を１組としたすべてのペアを抽出する第３のステップと、前記グループ抽出手段が、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、前記表作成手段は、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する第５のステップと、前記条件判定手段は、該作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。

（４）本発明は、分類手段と、初期化処理手段と、ペア抽出手段と、グループ抽出手段と、表作成手段と、条件判定手段と、を備えた公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、前記分類手段が、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、前記初期化処理手段が、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、前記ペア抽出手段が、該第２のステップ後の表から２つの前記重要情報を１組としたすべてのペアを抽出する第３のステップと、前記グループ抽出手段が、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、前記表作成手段が、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する第５のステップと、前記条件判定手段は、該作成した表がｋ個未満の属性値の組み合わせをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、を備えたことを特徴とする公開情報のプライバシー保護方法を提案している。

（５）本発明は、分類手段と、初期化処理手段と、ペア抽出手段と、グループ抽出手段と、表作成手段と、条件判定手段と、を備えた公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、前記分類手段が、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、前記初期化処理手段が、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、前記ペア抽出手段が、該第２のステップ後の表から２つの前記重要情報を１組としたすべてのペアを抽出する第３のステップと、前記グループ抽出手段が、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、前記表作成手段が、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する第５のステップと、前記条件判定手段は、ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、をコンピュータに実行させるためのプログラムを提案している。

（６）本発明は、分類手段と、初期化処理手段と、ペア抽出手段と、グループ抽出手段と、表作成手段と、条件判定手段と、を備えた公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、前記分類手段が、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、前記初期化処理手段が、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、前記ペア抽出手段が、該第２のステップ後の表から２つの前記重要情報を１組としたすべてのペアを抽出する第３のステップと、前記グループ抽出手段が、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、前記表作成手段が、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する第５のステップと、前記条件判定手段は、該作成した表がｋ個未満の属性値の組み合わせをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、をコンピュータに実行させるためのプログラムを提案している。

本発明によれば、利用者の要求条件を考慮した公開データの作成が可能となるという効果がある。また、従来よりも最適化されたデータを得ることができるという効果がある。

本発明に係る公開情報のプライバシー保護装置の構成図である。本発明の第１の実施形態に係る匿名化部の構成を示した図である。本発明の第１の実施形態に係る初期化処理後のデータを例示した図である。本発明の第１の実施形態に係る匿名化部の処理を例示した図である。本発明の第１の実施形態に係る匿名化部の処理を例示した図である。本発明の第１の実施形態に係る匿名化部の処理を例示した図である。本発明の第１の実施形態に係るプライバシー保護装置の処理を示した図である。本発明の第２の実施形態に係る匿名化部の構成を示した図である。本発明の第２の実施形態に係る初期化処理後のデータを例示した図である。本発明の第２の実施形態に係る匿名化部の処理を例示した図である。本発明の第２の実施形態に係る匿名化部の処理を例示した図である。本発明の第２の実施形態に係る匿名化部の処理を例示した図である。本発明の第２の実施形態に係るプライバシー保護装置の処理を示した図である。

＜第１の実施形態＞
以下、本発明の第１の実施形態について、図１から図７を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜公開情報のプライバシー保護装置の構成＞
図１を用いて、本実施形態に係る公開情報のプライバシー保護装置の構成について説明する。本実施形態に係る公開情報のプライバシー保護装置は、図１に示すように、分類部１００と、匿名化部２００と、設定部３００とから構成されている。

分類部１００は、入力された元データ（オリジナルデータ）をそのデータの各属性に応じて、重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に分類する。なお、実際には、ＧＵＩ（ＧｒａｐｈｉｃａｌＵｓｅｒＩｎｔｅｒｆａｃｅ）等を用いて、コンピュータ上のグラフィックス表示をマウスなどでポインティングすることにより、利用者が分類を行う。なお、重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）に指定された属性の変更は行われない。

匿名化部２００は、重要情報の属性値を匿名化する。具体的には、重要情報のある属性値を消去あるいは任意の属性値に置き換えることにより、属性値の匿名化を行う。したがって、属性情報の粒度を下げることなく、効率的に重要情報の匿名化を行うことができる。設定部３００は、攻撃者がｌ個の重要情報の組み合わせに基づいて、もとの重要情報を類推できる能力を有する場合に、ｌ個の重要情報の組み合わせ数ｋを設定する。

＜匿名化部の構成＞
図２を用いて、本実施形態に係る匿名化部２００の構成について説明する。本実施形態に係る匿名化部２００は、図２に示すように、初期処理部２１０と、ペア抽出部２２０と、グループ抽出部２３０と、表作成部２４０と、条件判定部２５０とから構成されている。

初期処理部２１０は、分類部１００が、区分した表に対して、準識別子の属性を匿名化する。ペア抽出部２２０は、初期処理後の表から２つの重要情報を１組としたすべてのペアを抽出する。グループ抽出部２３０は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。

表作成部２４０は、グループ抽出部２３０が抽出したグループにおいて、ペア抽出部２２０が抽出したペア以外の残りの重要情報の属性値からなる表を作成する。条件判定部２５０は、作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、ペア抽出部２２０、グループ抽出部２３０および表作成部２４０の処理を行う。また、図示しない出力部は、変形した表を出力する。

＜匿名化部の処理＞
図３から図６を用いて、匿名化部の処理について、具体例を提示して、説明する。

図３は、初期化処理後のデータを例示したものである。本例によれば、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」として、「Ｂｉｒｔｈ」、「Ｚｉｐ」、「Ｎａｔｉｏｎａｌｉｔｙ」が示され、「重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）」として、「Ｐｒｏｂｌｅｍ」、「Ｗｅｉｇｈｔ」、「Ｃｏｍｍｕｔｅ」が示されている。なお、本表のうち、「＊」は、データの一般化を意味する。

本発明は、重要情報を匿名化するものであり、ペア抽出部２２０は、上記３つの重要情報を２つ１組のペアとする。つまり、図４は、「Ｐｒｏｂｌｅｍ」と「Ｗｅｉｇｈｔ」と（図中、（ａ））をペアにした場合を、図５は、「Ｐｒｏｂｌｅｍ」と「Ｃｏｍｍｕｔｅ」と（図中、（ａ））をペアにした場合を、図６は、「Ｗｅｉｇｈｔ」と「Ｃｏｍｍｕｔｅ」と（図中、（ａ））をペアにした場合を示している。

グループ抽出部２３０は、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する。つまり、図４の例では、「Ｐｒｏｂｌｅｍ」について、同じ属性値「ＣｈｅｓｔＰａｉｎ」（図中、（Ａ））、「Ｈｙｐｅｒｔｅｎｓｉｏｎ」（図中、（Ｂ））、「Ｏｂｅｓｉｔｙ」（図中、（Ｃ））を有するレコード（属性値の列）をグループとして抽出する。図５の例では、「Ｐｒｏｂｌｅｍ」について、同じ属性値「ＣｈｅｓｔＰａｉｎ」（図中、（Ａ））、「Ｈｙｐｅｒｔｅｎｓｉｏｎ」（図中、（Ｂ））、「Ｏｂｅｓｉｔｙ」（図中、（Ｃ））を有するレコード（属性値の列）をグループとして抽出する。また、図６の例では、「Ｗｅｉｇｈｔ」について、同じ属性値「Ｈｅａｖｙ」（図中、（Ａ））、「Ｍｅｄｉｕｍ」（図中、（Ｂ））、「Ｓｌｉｍ」（図中、（Ｃ））を有するレコード（属性値の列）をグループとして抽出する。

表作成部２４０は、グループ抽出部２３０が抽出したグループにおいて、ペア抽出部２２０が抽出したペア以外の残りの重要情報の属性値からなる表を作成する。つまり、図４、図５、図６の例では、それぞれ（ｂ）の表を作成する。

条件判定部２５０は、作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、ペア抽出部２２０、グループ抽出部２３０および表作成部２４０の処理を行う。本例では、ｋ＝２とすると、図４の場合、「Ｃｏｍｍｕｔｅ」には、各グループごとに、「Ｃａｒ」、「Ｗａｌｋ」、「Ｔｒａｉｎ」の３つの属性値があり、図５の場合には、「Ｗｅｉｇｈｔ」には、各グループごとに、「Ｈｅａｖｙ」、「Ｓｌｉｍ」、「Ｍｅｄｉｕｍ」の３つの属性値がある。つまり、本例では、ｋ＝２の設定に対して、各グループごとに３つの属性値があるため、条件を満たしている。

＜公開情報のプライバシー保護装置の処理＞
図７を用いて、公開情報のプライバシー保護装置の処理について説明する。
まず、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類し（ステップＳ１０１）、区分した表に対して、準識別子の属性を匿名化する（ステップＳ１０２）。

第２のステップ後の表から２つの重要情報を１組としたすべてのペアを抽出し（ステップＳ１０３）、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する（ステップＳ１０４）。

第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要情報の属性値からなる表を作成し（ステップＳ１０５）、作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する（ステップＳ１０６）。

したがって、本実施形態によれば、すべてのグループが条件を満たすように、処理を行うことから、確実に安全性を担保することができる。

＜第２の実施形態＞
図８から図１３を用いて、本発明の第２の実施形態について説明する。

＜匿名化部の構成＞
図８を用いて、本実施形態に係る匿名化部２００の構成について説明する。本実施形態に係る匿名化部２００は、図８に示すように、初期処理部２１０と、ペア抽出部２２０と、グループ抽出部２３０と、表作成部２４０と、条件判定部２５１と、レコード数処理部２６０とから構成されている。なお、第１の実施形態と同一の符号を付す構成要素については、同様の機能を有することから、その詳細な説明は、省略する。

レコード数処理部２６０は、表作成部２４０が、作成した表が、ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返す。条件判定部２５１は、すべてのグループについて条件を満たしているか否かを判定する。そして、すべてのグループが条件を満たしたときに、図示しない出力部が、変形した表を出力する。

＜匿名化部の処理＞
図９から図１２を用いて、匿名化部の処理について、具体例を提示して、説明する。

図９は、初期化処理後のデータを例示したものである。本例によれば、「準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）」として、「Ｂｉｒｔｈ」、「Ｚｉｐ」、「Ｎａｔｉｏｎａｌｉｔｙ」が示され、「重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）」として、「Ｐｒｏｂｌｅｍ」、「Ｗｅｉｇｈｔ」、「Ｃｏｍｍｕｔｅ」が示されている。なお、本表のうち、「＊」は、データの一般化を意味する。

レコード数処理部２６０は、表作成部２４０が、作成した表が、ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返す。本例では、ｋ＝２とすると、まず、図１０において、重要情報の２段目の列における属性値「ＣｈｅｓｔＰａｉｎ」および「Ｓｌｉｍ」を「＊」として一般化することにより、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「ＣｈｅｓｔＰａｉｎ」であるときに、すべてのペアの組み合わせにおいて、属性値の数が３となり、条件を満たす。

また、図１１において、重要情報の２段目の列における属性値「ＣｈｅｓｔＰａｉｎ」と「Ｓｌｉｍ」および４段目の列における属性値「Ｈｙｐｅｒｔｅｎｓｉｏｎ」と「Ｈｅａｖｙ」を「＊」として一般化することにより、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｏｂｅｓｉｔｙ」であるときに、すべてのペアの組み合わせにおいて、属性値の数が３となり、条件を満たす。

しかしながら、図１１の状態では、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｈｙｐｅｒｔｅｎｓｉｏｎ」であるときには、条件を満たさない。そこで、図１２に示すように、さらに、重要情報の６段目の列における属性値「ＣｈｅｓｔＰａｉｎ」と「Ｍｅｄｉｕｍ」とを「＊」として一般化することにより、重要情報「Ｐｒｏｂｌｅｍ」の属性値が「Ｈｙｐｅｒｔｅｎｓｉｏｎ」であるときに、すべてのペアの組み合わせにおいて、属性値の数が３となり、条件を満たすようにする。なお、このままでは、重要情報「Ｃｏｍｍｕｔｅ」が全く一般化されないため、重要情報「Ｃｏｍｍｕｔｅ」の５列目の属性値「Ｔｒａｉｎ」を「＊」として一般化する。

＜公開情報のプライバシー保護装置の処理＞
図１３を用いて、公開情報のプライバシー保護装置の処理について説明する。
まず、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類し（ステップＳ２０１）、区分した表に対して、準識別子の属性を匿名化する（ステップＳ２０２）。

第２のステップ後の表から２つの重要情報を１組としたすべてのペアを抽出し（ステップＳ２０３）、抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する（ステップＳ２０４）。

第４のステップで抽出したグループにおいて、第３のステップで抽出したペア以外の残りの重要情報の属性値からなる表を作成し（ステップＳ２０５）、作成した表が、ｋ個未満の属性値の組合せをもつ場合に、他のグループからレコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する（ステップＳ２０６）。

以上、説明したように、本実施形態によれば、利用者の要求条件を考慮した公開データの作成が可能となる。また、従来よりも最適化されたデータを得ることができる。

なお、公開情報のプライバシー保護装置をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを公開情報のプライバシー保護装置に読み込ませ、実行することによって本発明の公開情報のプライバシー保護装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（ＷｏｒｌｄＷｉｄｅＷｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

Claims

ユーザからのデータを公開する場合の公開情報のプライバシー保護装置であって、
データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する分類手段と、
前記重要情報の属性値を匿名化する匿名化手段と、
を備え、
前記匿名化手段が、
前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、
該初期処理後の表から２つの前記重要情報を１組としたすべてのペアを抽出するペア抽出手段と、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、
該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する表作成手段と、
を備え、
該作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記ペア抽出手段、グループ抽出手段および表作成手段の処理を行い、変形した表を出力することを特徴とする公開情報のプライバシー保護装置。
ユーザからのデータを公開する場合の公開情報のプライバシー保護装置であって、
データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する分類手段と、
前記重要情報の属性値を匿名化する匿名化手段と、
を備え、
前記匿名化手段が、
前記分類手段が、区分した表に対して、前記準識別子の属性を匿名化する初期処理手段と、
該初期処理後の表から２つの前記重要情報を１組としたすべてのペアを抽出するペア抽出手段と、
該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出するグループ抽出手段と、
該グループ抽出手段が抽出したグループにおいて、前記ペア抽出手段が抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する表作成手段と、
を備え、
該作成した表がｋ個未満の属性値の組み合わせをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力することを特徴とする公開情報のプライバシー保護装置。
分類手段と、初期化処理手段と、ペア抽出手段と、グループ抽出手段と、表作成手段と、条件判定手段と、を備えた公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、
前記分類手段が、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
前記初期化処理手段が、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
前記ペア抽出手段が、該第２のステップ後の表から２つの前記重要情報を１組としたすべてのペアを抽出する第３のステップと、
前記グループ抽出手段が、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
前記表作成手段は、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する第５のステップと、
前記条件判定手段は、該作成した表がｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、
を備えたことを特徴とする公開情報のプライバシー保護方法。
分類手段と、初期化処理手段と、ペア抽出手段と、グループ抽出手段と、表作成手段と、条件判定手段と、を備えた公開情報のプライバシー保護装置における公開情報のプライバシー保護方法であって、
前記分類手段が、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
前記初期化処理手段が、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
前記ペア抽出手段が、該第２のステップ後の表から２つの前記重要情報を１組としたすべてのペアを抽出する第３のステップと、
前記グループ抽出手段が、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
前記表作成手段が、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する第５のステップと、
前記条件判定手段は、該作成した表がｋ個未満の属性値の組み合わせをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、
を備えたことを特徴とする公開情報のプライバシー保護方法。
分類手段と、初期化処理手段と、ペア抽出手段と、グループ抽出手段と、表作成手段と、条件判定手段と、を備えた公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
前記分類手段が、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
前記初期化処理手段が、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
前記ペア抽出手段が、該第２のステップ後の表から２つの前記重要情報を１組としたすべてのペアを抽出する第３のステップと、
前記グループ抽出手段が、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
前記表作成手段が、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する第５のステップと、
前記条件判定手段は、ｋ個以上の属性値の組み合わせをもつ場合に、すべてのグループについて条件を満たすように、前記第３のステップ、第４のステップおよび第５のステップの処理を行い、変形した表を出力する第６のステップと、
をコンピュータに実行させるためのプログラム。
分類手段と、初期化処理手段と、ペア抽出手段と、グループ抽出手段と、表作成手段と、条件判定手段と、を備えた公開情報のプライバシー保護装置における公開情報のプライバシー保護方法をコンピュータに実行させるためのプログラムであって、
前記分類手段が、データの各属性を重要情報（ＳｅｎｓｉｔｉｖｅＩｎｆｏｒｍａｔｉｏｎ）、準識別子（Ｑｕａｓｉ−Ｉｄｅｎｔｉｆｉｅｒ）に区分して表に分類する第１のステップと、
前記初期化処理手段が、区分した表に対して、前記準識別子の属性を匿名化する第２のステップと、
前記ペア抽出手段が、該第２のステップ後の表から２つの前記重要情報を１組としたすべてのペアを抽出する第３のステップと、
前記グループ抽出手段が、該抽出したそれぞれのペアに対して、同じ属性値を持つレコードをグループとして抽出する第４のステップと、
前記表作成手段が、該第４のステップにおいて抽出したグループにおいて、前記第３のステップで抽出したペア以外の残りの前記重要情報の属性値からなる表を作成する第５のステップと、
前記条件判定手段は、該作成した表がｋ個未満の属性値の組み合わせをもつ場合に、他のグループから前記レコードを１つ取り、最大ｌ個の属性を削除または任意の属性値に置き換え、当該グループに所属するレコード数を数え、属性値がｋ個以上になるまでこの処理を繰り返し、すべてのグループについて条件を満たしたときに、変形した表を出力する第６のステップと、
をコンピュータに実行させるためのプログラム。