JP6127774B2 - 情報処理装置、及び、データ処理方法 - Google Patents

Description

本発明は、情報の保護に関し、特に、追加又は削除される情報を保護する情報処理装置、及び、データ処理方法に関する。

近年、サービス事業者の情報処理装置は、カルテ情報や位置情報等の個人の特徴や行動を表す情報であるパーソナル情報を収集し、活用している。そして、サービス事業者の情報処理装置が収集及び活用するパーソナル情報は、増え続けている。

また、サービス事業者が収集したパーソナル情報は、第三者に提供又は公開される。公開された情報は、例えば、医学研究、創薬開発、都市計画、及びマーケティングに活用される。しかし、プライバシーが侵害される危険性は、パーソナル情報を活用できる第三者が増える程、高まる。

匿名化技術は、プライバシーが侵害される問題を解決し、第三者にパーソナル情報を公開できるようにする技術の一つである。

つまり、匿名化技術は、第三者が個人のプライバシーを侵害しないでパーソナル情報を活用できるように、個人のプライバシーを保護する技術である。

パーソナル情報は、個人を識別できる識別子と、個人にとって知られたくない情報（センシティブ属性）とを含む。

そこで、本発明に関連する匿名化技術は、パーソナル情報から、個人を識別できる識別子を削除する。

しかし、パーソナル情報は、単独では個人を識別できなくても、組合せを基に個人を識別できる情報（以下、準識別子と言う）を含む場合がある。

そこで、本発明に関連する匿名化技術は、準識別子を加工（匿名化）し、パーソナル情報の集合から、個人に関連するパーソナル情報を推定（識別）できないようにする。

つまり、本発明に関連する匿名化技術は、匿名性を満たすように、準識別子を加工（匿名化）する。

ここで、匿名性は、個人を推定できない程度を示す指標である。

例えば、ｋ−匿名性及びｌ−多様性は、匿名性として、よく知られている（例えば、特許文献１を参照）。

ｋ−匿名性は、同じ準識別子を持つパーソナル情報が「ｋ個」以上存在することを表す指標である。ｋ−匿名性が保証されたパーソナル情報の集合は、同じ準識別子を持つパーソナル情報を、少なくとも「ｋ個」含む。そのため、第三者は、集合の中から個人に関連するパーソナル情報を、特定できない。

ｌ−多様性は、同じ準識別子を持つパーソナル情報のセンシティブ属性の値の種類が「ｌ通り」以上存在することを表す指標である。ｌ−多様性が保証されたパーソナル情報の集合は、センシティブ属性の値を少なくとも「ｌ通り」含む。そのため、第三者は、集合の中から個人のセンシティブ属性の値を、推定できない。

図面を参照し、ｋ−匿名性とｌ−多様性とをさらに説明する。

図３６に示すデータ９００１は、患者の病状記録の一例を示す図である。

図３６に示すデータ９００１の病状記録において、ＺＩＰコード、年齢、国籍が、準識別子とする。また、病状が、センシティブ属性とする。

そして、本発明に関連する情報処理装置は、匿名化として、ＺＩＰコードと年齢との任意の桁を伏せ、国籍の国名を伏せるとする。

図３７に示すデータ９００２は、本発明に関連する情報処理装置が、図３６に示すデータ９００１の病状記録を匿名化した一例を示す図である。図３７の「＊」は、匿名化され、伏せられたデータを示す。

本発明に関連する情報処理装置は、ＺＩＰコード、年齢、国籍を匿名化し、同一の準識別子を持つ２つグループを形成する。

図３７に示す「ｋ」は、「ｋ−匿名性」の「ｋ」を示し、グループに属する個人（この例では患者）の数である。図３７では、いずれのグループも、「ｋ＝４」である。つまり、本発明に関連する情報処理装置は、「４−匿名性」を保証している。そのため、第三者（閲覧者）は、どのレコードがどの個人を表す情報であるのかを特定できない。

図３７に示す「ｌ」は、「ｌ−多様性」の「ｌ」を示し、グループに属する個人のセンシティブ属性（この例では病状）の種類（又は値）の数である。図３７では、患者１〜４が属するグループのｌ−多様性は、「ｌ＝２」である。また、患者５〜８が属するグループのｌ−多様性は、「ｌ＝１」である。

例えば、閲覧者が、ある患者のＺＩＰコードが１４８＊＊で、年齢が３０代であることを知ったとする。すると、閲覧者は、図３７のデータ９００２を基に、患者の病状が「癌」であることが分かる。

しかし、患者１〜４が属するグループは、「２−多様性」を保証されている。そのため、閲覧者は、患者のＺＩＰコード及び年齢（例えば、「ＺＩＰコードが１４８＊＊で３０代である」、又は、「ＺＩＰコードが１３０＊＊で２０代である」）を知っても、患者１〜４のグループを基に、病状（センシティブ属性の種類又は値）を特定できない。このように、本発明に関連する情報処理装置は、患者のＺＩＰコードと年齢とを知る閲覧者に、病状が特定されることを、防げる。

また、その他の匿名性の指標として、ｔ−近似性及びｍ−不変性が、知られている。

ｔ−近接性は、グループ間のセンシティブ属性の値の分布における距離と、全属性の値の分布における距離とが、「ｔ」以下であることを保証する指標である。

ｍ−不変性は、データの逐次開示において、同じ準識別子の組合せのレコードが「m個」以上あり、全てのレコードで異なるセンシティブ属性の値を持つことを保証する指標である。

実際の運用を想定すると、パーソナル情報は、パーソナル情報を記憶するデータベースに追加され、又は、データベースから削除される。

例えば、新たな患者が来院した場合、新たな患者のカルテ（パーソナル情報）が、患者のカルテを蓄積する病院のデータベースに、追加される。また、治癒した患者又は退院した患者が発生した場合、その患者のカルテ（パーソナル情報）は、病院のデータベースから、削除される。

あるいは、会員が入会した場合、会員データ（パーソナル情報）が、会員データベースに、追加される。会員が退会した場合、会員データ（パーソナル情報）は、会員データベースから、削除される。

パーソナル情報が追加・削除されるデータベースにおいて、ｍ−不変性を確保するための匿名化システムが、提案されている（例えば、非特許文献１を参照）。

削除されたパーソナル情報のセンシティブ属性の値が、新たに追加されたパーソナル情報のセンシティブ属性の値に一致しない場合、非特許文献１に記載の匿名化システムは、ダミーとなるパーソナル情報を、データベースに、追加する。データベースからパーソナル情報が削除された場合、非特許文献１に記載の匿名化システムは、ダミー情報を追加する。このような動作を用いて、非特許文献１に記載の匿名化システムは、データベースのパーソナル情報を用いた個人の特定を防ぎ、個人のプライバシーを保護する。

一方、準識別子を加工して、同じ準識別子からなる匿名化グループを生成する場合、特許文献１に記載の匿名化システムは、匿名化処理で得られた各グループ間のデータの移動を流量とする。そして、特許文献１に記載の匿名化システムは、流量を所定の値以下に抑えるように、データの匿名性を定義する。そして、特許文献１に記載の匿名化システムは、定義した匿名性を満たすように、準識別子を加工して、データを匿名化する。

つまり、特許文献１に記載の匿名化システムは、匿名化グループ間のデータの移動を抑制する。匿名化グループ間でのデータ（パーソナル情報）の移動の抑制は、匿名化の処理における準識別子が変更となるデータ（パーソナル情報）の数を減らす。変更となるパーソナル情報の数が減るため、特許文献１に記載の匿名化システムは、データベースに存在するパーソナル情報を用いた個人の特定を防ぎ、個人のプライバシーを保護する。

特開２０１１−１７０６３２

Xiaokui Xiao, Yufei Tao, "M-Invariance: Towards Privacy Preserving Re-publication of Dynamic Datasets", SIGMOD '07, Proceedings of the 2007 ACM SIGMOD international conference on Management of data, Pages 689-700, 2007.

しかし、上述した非特許文献１に記載された匿名化システムは、特定個人についてパーソナル情報の追加又は削除の事実を知る攻撃者に対して、特定個人のパーソナル情報の特定を防げないという問題点があった。さらに、非特許文献１に記載された匿名化システムは、ダミーのパーソナル情報を追加するため、データが不正確になるという問題点があった。

また、上述した特許文献１に記載された匿名化システムは、データベースに存在し続けるパーソナル情報の中で、個人の特定の防止を保証できないパーソナル情報が発生する可能性があるという問題点があった。さらに、特許文献１に記載された匿名化システムは、特定個人についてのパーソナル情報の追加又は削除の事実を知る攻撃者に対して、特定個人のパーソナル情報の特定を防げないという問題があった。

本発明の目的は、上記問題点を解決し、パーソナル情報が追加・削除されるデータベースにおいて、パーソナル情報が表す個人の特定を困難にする情報処理装置、及び、データ処理方法を提供することにある。

本発明の情報処理装置は、個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する抽出手段と、前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する変換手段と、を含む。

本発明のデータ処理方法は、個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出し、前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する。

本発明のプログラムは、個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する処理と、前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する処理とをコンピュータに実行させる。

本発明によれば、パーソナル情報が追加・削除されるデータベースにおいて、パーソナル情報が表す特定個人のプライバシーの保護を提供することができる。

図１は、本発明における第1の実施形態に係る情報処理装置に構成の一例を示すブロック図である。 図２は、第１の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 図３は、第１の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図４は、第１の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図５は、第１の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図６は、第１の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図７は、第１の実施形態に係る情報処理装置の別の構成の一例を示すブロック図である。 図８は、第１の実施形態に係る情報処理装置の別の構成の一例を示すブロック図である。 図９は、第２の実施形態に係る情報処理装置に構成の一例を示すブロック図である。 図１０は、第２の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 図１１は、第２の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図１２は、第２の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図１３は、第２の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図１４は、第２の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図１５は、第３の実施形態に係る情報処理装置に構成の一例を示すブロック図である。 図１６は、第３の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 図１７は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図１８は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図１９は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図２０は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図２１は、第３の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図２２は、第４の実施形態に係る情報処理装置に構成の一例を示すブロック図である。 図２３は、第４の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 図２４は、第４の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図２５は、第４の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図２６は、第４の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図２７は、第４の実施形態の係る情報処理装置の動作の説明に用いるデータを示す図である。 図２８は、第５の実施形態に係る情報処理装置に構成の一例を示すブロック図である。 図２９は、第５の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 図３０は、第５の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 図３１は、第５の実施形態に係る情報処理装置の動作の一例を示すフローチャートである。 図３２は、第５の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図３３は、第５の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図３４は、第５の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図３５は、第５の実施形態に係る情報処理装置の動作の説明に用いるデータを示す図である。 図３６は、一般的な匿名化を説明するための図である。 図３７は、一般的な匿名化を説明するための図である。

次に、本発明における実施形態について図面を参照して説明する。

なお、各図面は、本発明の実施形態を説明するものである。そのため、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ符号を付し、その繰り返しの説明を、省略する場合がある。

また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。

説明に先立ち、本実施形態の説明で用いる用語について整理する。

「パーソナル情報」とは、個人（パーソナル）の属性を含む情報である。例えば、パーソナル情報は、個人の特徴を表す属性を含む。ここで、個人の特徴を表す属性は、準識別子及びセンシティブ属性を含む。以下、個人の特徴を表す属性を含め、パーソナル情報と言う。

「有効期間」とは、パーソナル情報が、パーソナル情報を記憶している装置又はシステムにおいて、有効である期間のことである。例えば、パーソナル情報が、データベースに記憶される場合、有効期間は、パーソナル情報がデータベースに記憶されている期間である。

より具体的に説明する。病気の治療のために1年間通院する患者を仮定する。その患者のパーソナル情報は、通院の開始時に病院のデータベースに記憶される。そして、1年間の通院後、病気が完治した場合、患者のパーソナル情報は、データベースから削除される。この場合、患者のパーソナル情報の有効期間は、病院のデータベースに記憶されている1年間である。そのため、有効期間は、「存続期間」といっても良い。

ただし、有効期間は、時間（例えば、年、月、日、時、分、又は、秒）のように連続した値に限る必要はない。例えば、治療のための通院回数が決まっている治療の場合、パーソナル情報の有効期間は、通院回数となる。

より具体的に説明する。血液検査の通院を仮定する。この場合、例えば、患者は、申込み、採血、及び、結果報告の三回通院する。この場合、有効期間は、三回となる。

＜第１の実施形態＞
まず、本発明における第１の実施形態に係る情報処理装置１００の構成について、図面を参照して説明する。

図１は、第１の実施形態に係る情報処理装置１００の構成の一例を示すブロック図である。

第１の実施形態に係る情報処理装置１００は、パーソナル情報が追加・削除されるデータベースにおいて、プライバシーを保護するため、有効期間が同一又は所定の範囲のパーソナル情報を匿名化する。

そのため、情報処理装置１００は、抽出部１１１と、変換部１１２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。

パーソナル有効情報記憶部１２１は、パーソナル情報と、パーソナル情報の有効期間とを、相互に参照できるように、記憶する。

なお、パーソナル有効情報記憶部１２１は、パーソナル情報と、有効期間とを、相互に参照できるように記憶すれば、記憶の形式に、特に制限はない。例えば、パーソナル有効情報記憶部１２１は、テーブルの形式を用いて、パーソナル情報と有効期間とを、異なるカラム（列）に記憶してもよい。また、パーソナル有効情報記憶部１２１は、パーソナル情報と有効期間とを、複数のテーブルに分けて、記憶してもよい。また、パーソナル有効情報記憶部１２１は、リレーショナルデータベース管理システム（RDBMS : Relational DataBase Management System）のような、データベース管理手法を用いて、記憶しても良い。

さらに、パーソナル有効情報記憶部１２１は、パーソナル情報と有効期間とに関連するパーソナル情報の識別子を記憶しても良い。

抽出部１１１は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報を、有効期間を参照して分類し、特定の有効期間の範囲となるパーソナル情報を含む集合データ（以下、単に「集合」と言う）を抽出する。

より詳細には、抽出部１１１は、パーソナル情報を、特定の範囲の有効期間毎に分類し、特定の範囲の有効期間のパーソナル情報を集めて集合を生成する。そして、抽出部１１１は、全てのパーソナル情報を用いて、複数の集合を生成する。そして、抽出部１１１は、集合を、変換部１１２に出力する。

より具体的には、抽出部１１１は、例えば、次のように動作する。

抽出部１１１は、パーソナル有効情報記憶部１２１からパーソナル情報と有効期間とを読み出す。読み出した有効期間を含む集合が作成済みの場合、抽出部１１１は、その集合に、パーソナル情報を追加する。有効期間を含む集合が作成されていない場合、抽出部１１１は、その有効期間を含む集合を作成し、その集合にパーソナル情報を追加する。

そして、抽出部１１１は、全てのパーソナル情報を集合に追加後、集合を抽出し、変換部１１２に出力する。

抽出部１１１は、上記の通り、パーソナル有効情報記憶部１２１に記憶されている全てのパーソナル情報を処理する。すなわち、抽出部１１１が生成する全集合の要素の総数は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報の総数である。

変換部１１２は、抽出部１１１が抽出した集合に含まれるパーソナル情報を、匿名性を満たすパーソナル情報に、変換する。以下、変換後のパーソナル情報を「保護済パーソナル情報」と言う。そして、変換部１１２は、保護済パーソナル情報を、結果記憶部１２２に記憶する。変換部１１２は、保護済パーソナル情報の他に、パーソナル有効情報記憶部１２１が記憶するパーソナル情報（変換前のパーソナル情報）の識別子を、結果記憶部１２２に記憶しても良い。

なお、変換部１１２が実施する保護済パーソナル情報への変換は、パーソナル情報が表す個人のプライバシーを守る変換であれば、特に制限はない。例えば、その変換は、「ｋ−匿名性」又は「ｌ−多様性」を満たす匿名化処理でも良い。

結果記憶部１２２は、変換部１１２で変換された保護済パーソナル情報を、記憶する。また、結果記憶部１２２は、パーソナル情報の識別子と保護済パーソナル情報の両方を、記憶しても良い。

例えば、結果記憶部１２２は、識別子としてのパーソナル有効情報記憶部１２１に記憶されたパーソナル情報のレコード番号と、保護済パーソナル情報を構成する属性値とを、１つのテーブルの各カラム（列）に記憶しても良い。

なお、結果記憶部１２２は、保護済パーソナル情報を参照できれば、記憶形式に特に制限はない。例えば、結果記憶部１２２は、パーソナル情報の識別子と保護済パーソナル情報の識別子とを１つのテーブルの異なるカラムに記憶し、別のテーブルに保護済パーソナル情報を構成する属性値を記憶し、さらに別のテーブルに識別子と属性値との関連情報を記憶してもよい。

次に、本実施形態に係る情報処理装置１００の動作（データ処理方法）について、図面を参照して説明する。

図２は、本実施形態に係る情報処理装置１００の動作の一例を示すフローチャートである。

なお、パーソナル有効情報記憶部１２１は、予め、パーソナル情報と有効期間とを含む複数のレコードを記憶しているとする。

まず、抽出部１１１は、パーソナル情報の集合のリストを抽出（生成）する（ステップＳ１０１）。

具体的には、抽出部１１１は、ステップＳ１０１において、例えば、次のように動作する。

抽出部１１１は、まず、空のリストを生成する。そして、抽出部１１１は、パーソナル有効情報記憶部１２１に記憶されている１つのレコード（パーソナル情報と有効期間との１つの組）を読み込む。抽出部１１１は、読み込んだパーソナル情報と有効期間とを参照し、その有効期間が含まれる集合がリストに存在するか否かを判定する。

有効期間が含まれる集合がリストに存在しない場合、抽出部１１１は、その有効期間を含む集合を生成し、リストに登録する。集合の生成（登録）後、抽出部１１１は、パーソナル情報を、生成した集合に追加する。

なお、抽出部１１１は、どのような集合を生成するかについて、予め設定されているとする。例えば、抽出部１１１は、年単位（例えば、「1年未満」、「１年以上２年未満」、「２年以上３年未満」、・・・）の集合を生成すると、設定されていても良い。あるいは、抽出部１１１は、所定の回数範囲（例えば、「１回−５回」、「６回−１０回」、・・・）の集合を生成すると、設定されていても良い。

有効期間が含まれる集合がリストに存在する場合、抽出部１１１は、有効期間が含まれる集合に、パーソナル情報を追加する。

抽出部１１１は、パーソナル有効情報記憶部１２１に記憶されている全てのレコード（パーソナル情報と有効期間との組）を処理し、リストを生成する。

次に、変換部１１２は、抽出部１１１が生成したリストに、未処理（未変換）の要素（集合）があるか否かを判定する（ステップＳ１０３）。

リストの未処理の要素（集合）がある場合（ステップＳ１０３で「ＹＥＳ」）、変換部１１２は、抽出部１１１が抽出（生成）したリストから集合を、１つ取り出す。そして、変換部１１２は、集合を構成するパーソナル情報を、所定の匿名性を満たす保護済パーソナル情報に変換する（ステップＳ１０５）。

そして、変換部１１２は、結果記憶部１２２に、パーソナル情報の識別子と保護済パーソナル情報とを出力する（ステップＳ１０７）。結果記憶部１２２は、識別子と保護済パーソン情報とを記憶する。

そして、変換部１１２は、ステップＳ１０３に戻る。

リストに未処理の要素（集合）がある場合、変換部１１２は、上記の処理を繰り返す。

未処理の要素（集合）がない場合（ステップＳ１０３で「ＮＯ」）、情報処理装置１００は、動作を終了する。

つまり、変換部１１２は、抽出部１１１が抽出したリストに登録されているすべての集合に対して、上記動作を実行する。

（動作例）
次に、本実施形態の情報処理装置１００の動作について、具体的なパーソナル情報を含むデータを用いて説明する。

図３は、情報処理装置１００の動作の説明に用いるパーソナル有効情報記憶部１２１が記憶するデータの一例を示す図である。

パーソナル有効情報記憶部１２１は、図３に示すデータ１００１を記憶する。データ１００１は、病状記録（個人に関連するパーソナル情報）として、識別子の番号（Ｎｏ．）と、患者の郵便番号（ＺＩＰコード）と、年齢と、病状（センシティブ属性）との組合せのデータである。また、パーソナル有効情報記憶部１２１は、有効期間として、診療を受ける回数を、記憶する。

図４−図６は、情報処理装置１００の動作を説明するための図であり、結果記憶部１２２が記憶するデータの推移の一例を示す図である。

なお、本実施形態の説明において、情報処理装置１００が、ＺＩＰコードと年齢とを抽象化しているのは、例示である。情報処理装置１００が匿名化の対象とするデータは、これらに限る必要はない。

以下の説明では、情報処理装置１００は、２−匿名性を満たすように匿名化する。

結果記憶部１２２は、図４に示すデータ１００２の状態から、図５に示すデータ１００３の状態を経由して、図６に示すデータ１００４を記憶する。

まず、抽出部１１１は、有効期間が１０回の病状記録の番号（Ｎｏ．）を付与した集合と、有効期間が１回である病状記録の番号（Ｎｏ．）を付与した集合とのリストを生成する（ステップＳ１０１）。

ここで、以下の説明の便宜のため、実施形態の説明に用いるリスト及び集合の記載書式を説明する。

以下、集合を｛｝、リストを［］、有効期間ｎが付与された集合を｛｝：ｎと表現する。なお、記載を明確にするため、「」を用いて記載を囲む場合もある。

この記載書式を用いると、抽出部１１１は、パーソナル有効情報記憶部１２１に記憶されるすべての病状記録から、リスト［｛１，４｝：１０，｛２，３｝：１］を生成する。

ここで、結果記憶部１２２の初期状態は、図４に示すデータ１００２のように、保護済パーソナル情報である匿名化された病状記録が、記憶されていない状態である。

変換部１１２は、リストに、未処理の要素（集合）があるか否かを判定する（ステップＳ１０３）。

リストに要素があるため（ステップＳ１０３で「ＹＥＳ」）、変換部１１２は、リストの先頭の集合「｛１，４｝：１０」を取り出す。そして、変換部１１２は、ＺＩＰと年齢とを汎化して、リストの要素であるＮｏ．１とＮｏ．４の病状記録を、匿名化する（ステップＳ１０５）。この結果、リストの先頭の集合は、「｛２，３｝：１」となる。

変換部１１２は、匿名化したＮｏ．１とＮｏ．４の病状記録を、図５に示すデータ１００３のように、結果記憶部１２２に記憶する（ステップＳ１０７）。

次に、変換部１１２は、リストに、未処理の要素（集合）があるか否かを判定する（ステップＳ１０３）。

リストに要素があるため（ステップＳ１０３で「ＹＥＳ」）、変換部１１２は、リストの先頭の集合「｛２，３｝：１」を取り出し、リストの要素であるＮｏ．２とＮｏ．３の病状記録を、匿名化する（ステップＳ１０５）。

変換部１１２は、匿名化したＮｏ．２とＮｏ．３の病状記録を、図６に示すデータ１００４のように、結果記憶部１２２に記憶する（ステップＳ１０７）。

そして、変換部１１２は、リストに、未処理の要素（集合）があるか否かを判定する（ステップＳ１０３）。

リストが空であるため（ステップＳ１０３で「ＮＯ」）、変換部１１２は、処理を終了する。

図６のデータ１００４から明らかなとおり、データ１００４の集合（「Ｎｏ．１とＮｏ．４」及び「Ｎｏ．２とＮｏ．３」）は、２−匿名化を満たす。さらに、データ１００４の集合は、２−多様性も満たしている。

（実施形態の効果）
このように、本実施形態の情報処理装置１００は、パーソナル情報が追加・削除されるデータベースにおいて、パーソナル情報が表す個人のプライバシーの保護する効果を提供できる。

その理由は、次のとおりである。

本実施形態の情報処理装置１００は、有効期間が同一又は所定の範囲のデータの集合を抽出し、データを匿名化する。つまり、情報処理装置１００は、パーソナル情報を、同一又は所定の範囲の有効期間の集合において匿名化する。

したがって、閲覧者は、有効期間を知っていても、匿名化されたデータから個人を特定できない。

例えば、ある個人が、病院に治療のために通い、パーソナル有効情報記憶部１２１に、パーソナル情報が記憶されたとする。情報処理装置１００は、例えば、所定の期間より長く通院する長期通院者のデータ集合を抽出して、データを匿名化する。また、情報処理装置１００は、所定の期間より短い通院期間のデータを抽出して、データを匿名化する。

したがって、閲覧者は、例えば、ある患者の通院が長期間であることを知っても、結果記憶部１２２に記憶される保護済（匿名化済）パーソナル情報を参照して、個人を特定できない。より具体的には、閲覧者は、例えば、有効期間（通院期間）が長いことを予測できるパーソナル情報（例えば、「症状」という属性の値（種類）が「重症」であるパーソナル情報）を入手しても、その特定個人のパーソナル情報を識別できない。

また、閲覧者は、例えば、有効期間（通院期間）が短いことを予測できるパーソナル情報（例えば、「症状」という属性の値（種類）が「軽症」であるパーソナル情報）を入手しても、その特定個人のパーソナル情報を識別できない。

このように、本実施形態に情報処理装置１００は、パーソナル情報の有効期間を予測できる攻撃者が、特定個人のパーソナル情報を識別することを、防止できる。

つまり、本実施形態の情報処理装置１００は、所定の有効期間の集団に属するパーソナル情報を、集団毎に匿名化する。そのため、情報処理装置１００は、集合に属することを知る攻撃者から、特定個人のパーソナル情報の識別を、防止する。

（変形例１）
情報処理装置１００の構成は、これまでの説明に限らない。

情報処理装置１００は、各構成を複数の構成に分けても良い。

さらに、情報処理装置１００は、１つの装置で構成される必要はない。例えば、情報処理装置１００は、ネットワークを介して接続した抽出部１１１を含む装置と、変換部１１２を含む装置とを用いて構成されても良い。

あるいは、情報処理装置１００は、パーソナル有効情報記憶部１２１と結果記憶部１２２とのいずれか、又は、両方を外部の記憶装置として構成しても良い。

図７は、第1の実施形態の変形例1の構成の一例を示すブロック図である。

情報処理装置１０１は、抽出部１１１と、変換部１１２とを含む。

抽出部１１１は、情報処理装置１０１の抽出部と同様に、図示しない記憶装置のパーソナル有効情報記憶部１２１に記憶されているパーソナル情報の集合を抽出する。

変換部１１２は、集合に含まれるパーソナル情報を匿名化し、図示しない記憶装置の結果記憶部１２２に記憶する。

このように構成された情報処理装置１０１は、情報処理装置１００と同様の効果を実現できる。

その理由は、次のとおりである。

情報処理装置１０１の抽出部１１１及び変換部１１２は、情報処理装置１００の抽出部１１１及び変換部１１２と同様に動作できるためである。

なお、情報処理装置１０１は、本発明の最小構成である。

（変形例２）
また、情報処理装置１００は、複数の構成を１つの構成としても良い。

例えば、情報処理装置１００は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）と、入出力接続回路（ＩＯＣ：Input/Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現しても良い。

図８は、本実施形態の情報処理装置１００の変形例である情報処理装置６００の構成の一例を示すブロック図である。

情報処理装置６００は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータを構成している。

ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０は、これらの構成を制御し、図１に示す、抽出部１１１と、変換部１１２としての各機能を実現する。ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０をプログラムの一時記憶として使用しても良い。

また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでも良い。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取っても良い。

ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Programable-ROM）やフラッシュＲＯＭである。

ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラムやデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Dynamic-RAM）である。

内部記憶装置６４０は、情報処理装置６００が長期的に保存するデータやプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作しても良い。内部記憶装置６４０は、パーソナル有効情報記憶部１２１又は結果記憶部１２２として動作する。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。

ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカードである。

入力機器６６０は、情報処理装置６００の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。

表示機器６７０は、情報処理装置６００の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。

ＮＩＣ６８０は、ネットワークを介した外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮカードである。

このように構成された情報処理装置６００は、情報処理装置１００と同様の効果を得ることができる。

その理由は、次のとおりである。

情報処理装置６００のＣＰＵ６１０は、プログラムに基づいて情報処理装置１００と同様の機能を実現できるためである。

＜第２の実施形態＞
第２の実施形態について、図面を参照して説明する。なお、第１の実施形態の同様の構成又はステップには、同じ符号を付し、明細書中の説明を省略する場合がある。

まず、第２の実施形態に係る情報処理装置２００の構成について説明する。

図９は、本実施形態に係る情報処理装置２００の構成の一例を示すブロック図である。

情報処理装置２００は、削除部２１１と、抽出部２１２と、変換部１１２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。

第１の実施形態に係る情報処理装置１００は、パーソナル有効情報記憶部１２１に記憶されたパーソナル情報が示す個人のプライバシーを、図２に示すフローを１回実行することで、保護する。つまり、第１の実施形態に係る情報処理装置１００は、保護されていないパーソナル情報を、一度の処理で保護する。

一方、本実施形態の情報処理装置２００は、複数のタイミングで、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報が示す個人のプライバシーを保護するための処理を実行する点で、情報処理装置１００と、相違する。つまり、情報処理装置２００は、断続的に、すなわち、繰り返し処理を実行し、プライバシーを継続的に保護する。

第２の実施形態において、パーソナル有効情報記憶部１２１に記憶されるパーソナル情報は、時間経過に伴って変化する。つまり、新たなパーソナル情報が、パーソナル有効情報記憶部１２１に追加され、有効期間を過ぎたパーソナル情報が、パーソナル有効情報記憶部１２１から削除される。

したがって、パーソナル有効情報記憶部１２１に記憶されるパーソナル情報を、時間の経過とともに、継続的に保護する必要がある。そのため、情報処理装置２００は、第１の実施形態に係る情報処理装置１００の構成における抽出部１１１の代わりとして、抽出部２１２を含み、更に、削除部２１１を含む。以下、本実施形態の情報処理装置２００における、情報処理装置１００と相違する構成について、説明する。

削除部２１１は、パーソナル有効情報記憶部１２１に記憶されていないパーソナル情報の識別子と、そのパーソナル情報を変換して得られた保護済パーソナル情報とを、結果記憶部１２２から、削除する。

抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報の中から、結果記憶部１２２にパーソナル情報の識別子が記憶されていないパーソナル情報を、抽出する。この抽出は、断続的に実行される。

そして、抽出部２１２は、抽出したパーソナル情報と、そのパーソナル情報の有効期間とを参照し、その有効期間が含まれる集合が、パーソナル情報のリストに存在するか否かを判定する。

集合が存在しない場合、抽出部２１２は、その有効期間を含む集合を作成し、リストに登録する。そして、抽出部２１２は、抽出したパーソナル情報を、要素として、作成した集合に追加する。

集合が存在する場合、抽出部２１２は、抽出したパーソナル情報を、要素として、その集合に追加する。

抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されているすべてのパーソナル情報を、同様に処理する。

このように、抽出部２１２は、結果記憶部１２２にパーソナル情報の識別子が記憶されていないパーソナル情報の集合を、断続的に、抽出する。結果記憶部１２２に記憶されていないパーソナル情報は、変換部１１２が変換していない情報である。つまり、抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報の中で、変換部１１２が変換していないパーソナル情報の集合を抽出する。

そして、抽出部２１２は、全てのパーソナル情報を処理後（つまり、集合を抽出後）、変換部１１２に出力する。

なお、最初の状態、つまり結果記憶部１２２にパーソナル情報を含まない場合、抽出部２１２は、抽出部１１１と同様に動作する。そのため、抽出部２１２は、抽出部１１１の機能を持つ第２の抽出部と言っても良い。なお、この場合、抽出部１１１は、第１の抽出部と言っても良い。

また、抽出部２１２は、抽出部１１１に相当する構成と、本実施形態で追加された機能を実現する構成とに分けて構成されても良い。

なお、情報処理装置２００は、情報処理装置１００と同様に、図８に示すコンピュータで構成されても良い。

次に、本実施形態に係る情報処理装置２００の動作（データ処理方法）について説明する。

図１０は、第２の実施形態に係る情報処理装置２００の動作の一例を示すフローチャートである。

なお、情報処理装置２００の動作のタイミングは、特に制限はない。例えば、情報処理装置２００は、定期的に、動作しても良い。あるいは、情報処理装置２００は、例えば、情報処理装置２００の管理者、又は、図示しない管理装置の指示を基に、動作してもよい。

また、結果記憶部１２２は、記憶するパーソナル情報の識別子を記憶する。

削除部２１１は、パーソナル有効情報記憶部１２１に記憶されていないパーソナル情報の識別子と、そのパーソナル情報に対応する保護済パーソナル情報とを、結果記憶部１２２から削除する（ステップＳ２０１）。

次に、抽出部２１２は、新規のパーソナル情報の集合のリストを生成する（ステップＳ２０３）。

より具体的には、抽出部２１２は、例えば、次のように動作する。

まず、抽出部２１２は、空のリストを生成する。

そして、抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されている１つのレコードから、パーソナル情報とそのパーソナル情報の有効期間とを読み込む。

抽出部２１２は、読み込んだパーソナル情報の識別子が、結果記憶部１２２に記憶されているか否かを判定する。

結果記憶部１２２に記憶されていない場合、抽出部２１２は、パーソナル情報の有効期間が含まれる集合が、リストに存在するか否かを判定する。

リストに存在しない場合、抽出部２１２は、有効期間を含む集合を、生成する。そして、抽出部２１２は、生成した集合を、リストに登録する。

集合が存在する場合又は集合の登録後、抽出部２１２は、有効期間を含む集合をリストから読み込む。そして、抽出部２１２は、読み込んだ集合に、パーソナル情報を登録する。

抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されているすべてのパーソナル情報について、同様に、処理する。

次に、変換部１１２は、リストに、未処理の要素（集合）があるか否かを判定する（ステップＳ１０３）。

未処理の要素（集合）がある間（ステップＳ１０３が「ＹＥＳ」）、変換部１１２は、次の処理を繰り返す。

変換部１１２は、抽出部２１２が生成したリストから集合を１つ取り出し、集合を構成するパーソナル情報を変換し、保護済パーソナル情報を生成する（ステップＳ１０５）。

そして、変換部１１２は、結果記憶部１２２に、パーソナル情報への参照（識別子）と、保護済パーソナル情報とを記憶する（ステップＳ１０７）。

変換部１１２は、リストに登録されているすべての集合に対して、同様に、処理する。

（動作例）
次に、本実施形態の情報処理装置２００の動作について、具体的なパーソナル情報を含んだデータを用いて説明する。

図１１−１４は、情報処理装置２００の動作の説明に用いる、パーソナル有効情報記憶部１２１及び結果記憶部１２２が記憶するデータの一例を示す図である。

時刻ｔ０において、パーソナル有効情報記憶部１２１は、図１１に示すデータ２００１を記憶する。データ２００１は、病状記録（個人に関するパーソナル情報）として、病状記録を識別する番号（Ｎｏ．）と、患者のＺＩＰコードと、年齢と、病状との組合せのデータである。また、データ２００１は、有効期間（診療を受ける回数）を含む。

そして、抽出部１１１は、第１の実施形態と同様に、パーソナル有効情報記憶部１２１に記憶されているデータ２００１からパーソナル情報を抽出する。変換部１１２は、第１の実施形態と同様に、パーソナル情報を、図１１に示すデータ２００２のように、匿名化する。そして、変換部１１２は、匿名化した保護済パーソナル情報を、結果記憶部１２２に記憶する。

時刻ｔ０から所定の時間が経過した時刻ｔ１において、パーソナル有効情報記憶部１２１は、図１２のデータ２００３を記憶する。データ２００３は、時刻ｔ０におけるデータ２００１から、Ｎｏ．２及びＮｏ．３の病状記録が削除され、新たに、Ｎｏ．５及びＮｏ．６の病状記録が追加されたデータである。

そして、情報処理装置２００は、図１０を参照して説明したように動作する。

まず、削除部２１１は、図１３のデータ２００４に示すように、結果記憶部１２２に記憶された図１１のデータ２００２を参照し、結果記憶部１２２に記憶され、パーソナル有効情報記憶部１２１に記憶されていない、Ｎｏ．２及びＮｏ．３のレコードを削除する（ステップＳ２０１）。

次に、抽出部２１２は、空のリストを生成する。そして、抽出部２１２は、パーソナル有効情報記憶部１２１に記憶されている病状記録であって、結果記憶部１２２にその番号（Ｎｏ．）が記憶されていない病状記録を読み込み、病状の集合のリスト［｛５，６｝：１］を生成する（ステップＳ２０３）。

リストに要素があるため（ステップＳ１０３で「ＹＥＳ」）、変換部１１２は、リストの先頭の集合「｛５，６｝：１」を取り出す。そして、変換部１１２は、集合の要素であるＮｏ．５及びＮｏ．６の病状記録を匿名化する（ステップＳ１０５）。

変換部１１２は、図１４のデータ２００５に示すように、匿名化したＮｏ．５及びＮｏ．６の病状記録を、結果記憶部１２２に記憶する（ステップＳ１０７）。

そして、リストに要素が存在しない（リストが空の）ため、変換部１１２は、処理を終了する（ステップＳ１０３で「ＮＯ」）。

（本実施形態の効果）
このように、本実施形態の情報処理装置２００は、第１の実施形態の効果に加え、時間の経過に伴ってパーソナル情報が追加及び削除されるデータベースにおいて、パーソナル情報が表す個人のプライバシーの保護する効果を提供できる。

その理由は、次のとおりである。

本実施形態の情報処理装置２００は、時間経過に伴って異なるパーソナル情報が断続的に記憶されるパーソナル有効情報記憶部１２１に対して、データを匿名化する。つまり、情報処理装置２００は、断続的に、パーソナル有効情報記憶部１２１のデータ変更を参照して、結果記憶部１２２のデータを修正（追加及び／又は削除）するためである。

個人が、長期的にある集団に属する（例えば、長期通院としてパーソナル有効情報記憶部１２１にパーソナル情報が記憶される）場合、情報処理装置２００は、時間が経過しても、結果記憶部１２２が記憶する集団に属する特定個人のパーソナル情報を、適切に、匿名化する。そのため、例えば、攻撃者は、長期に通院する患者を知っていても、結果記憶部１２２のパーソナル情報から、その特定個人のパーソナル情報を識別できない。

同様に、個人が、一時的にある集団に属する、例えば、病院に１回だけ訪れてパーソナル有効情報記憶部１２１にパーソナル情報が記憶される場合、情報処理装置２００は、通信終了後、結果記憶部１２２が記憶するパーソナル情報を匿名化又は削除する。そのため、攻撃者は、患者（特定個人）を知っていても、結果記憶部１２２に１回だけ存在したパーソナル情報の中から、その特定個人のパーソナル情報を識別できない。

つまり、情報処理装置２００は、特定個人のパーソナル情報が集団に属する有効期間にかかわらず、情報を保護できる。

このように、本実施形態の情報処理装置２００は、攻撃者が保護済パーソナル情報を閲覧し続けても、攻撃者が特定個人のパーソナル情報を識別することを防止するように、パーソナル情報を匿名化できる。

＜第３の実施形態＞
第３の実施形態について、図面を参照して説明する。なお、第１及び第２の実施形態と同様の構成又はステップには、同じ符号を付し、詳細な説明を省略する場合がある。

まず、第３の実施形態に係る情報処理装置３００の構成について説明する。

図１５は、本実施形態に係る情報処理装置３００の構成の一例を示すブロック図である。

情報処理装置３００は、抽出部３１１と、変換部１１２と、変換部３１２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。

本実施形態の情報処理装置３００は、第１の実施形態の情報処理装置１００と、相対的に有効期間が近いパーソナル情報が表す個人の集合において個人のプライバシーを保護する点で、相違する。そのため、同じ構成についての説明を省略し、相違する構成について以下に説明する。

抽出部３１１は、抽出部１１１の機能に加え、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報のうち、有効期間が所定の期間より長いパーソナル情報の集合と、それ以外の（有効期間が所定の期間より短い）パーソナル情報の集合とを抽出する。ここで、抽出部３１１は、有効期間が所定の期間より長いパーソナル情報の集合として、複数の集合を抽出しても良い。複数の集合を抽出する場合、抽出部３１１は、予め、所定の期間に加え、集合の分割点を保持しても良い。あるいは、抽出部３１１は、所定の期間に加え、各集合の範囲を保持しても良い。

なお、抽出部３１１は、抽出部１１１又は抽出部２１２に相当する構成と、本実施形態で追加された機能を実現する構成とに分けて構成されても良い。そのため、抽出部３１１は、第３の抽出部といっても良い。

例えば、所定の期間を１ヶ月とした場合について説明する。また、抽出部３１１は、有効期間が長い集合として、１年未満と１年以上の２つの集合を抽出するとする。

抽出部３１１は、有効期間が所定の期間より長いパーソナル情報の集合として、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報のうち、１ヶ月以上１年未満の有効期間のパーソナル情報の集合と、１年以上の有効期間のパーソナル情報の集合とを生成（抽出）する。

そして、抽出部３１１は、それ以外のパーソナル情報の集合、つまり、有効期間が所定の期間より短い（１ヶ月未満）パーソナル情報の集合を抽出する。

このように、抽出部３１１は、有効期間が所定の期間より長い１つ又は複数の集合と、有効期間が所定の期間より短い集合とを抽出する。

変換部１１２は、第１の実施形態及び第２の実施形態の変換部１１２と同様に、抽出部３１１が抽出したパーソナル情報を要素とする各集合について、集合に含まれるパーソナル情報を変換し、保護済パーソナル情報を生成する。そして、変換部１１２は、保護済パーソナル情報を結果記憶部１２２に記憶する。

変換部３１２は、抽出部３１１が抽出した有効期間が所定の期間よりも短いパーソナル情報の少なくとも一部が、結果記憶部１２２に記憶されている保護済パーソナル情報の少なくとも一部と識別できないように、そのパーソナル情報の一部と保護済パーソナル情報の一部とを変換する。そして、変換部３１２、パーソナル情報の一部と保護済パーソナル情報の一部とを変換した変換後の保護済パーソナル情報を、結果記憶部１２２に記憶する。

変換部３１２は、有効期間が所定の期間より短いパーソナル情報の全てについて、上記のように変換し、変換後の保護済パーソナル情報として、結果記憶部１２２に記憶する。

そのため、変換部３１２は、変換部１１２を第１の変換部とすると、第２の変換部に相当する。

ただし、情報処理装置３００は、変換部１１２と変換部３１２とを１つの構成で実現しても良い。本実施形態の説明において、変換部１１２と変換部３１２とを分けて説明するのは、説明する機能を明確にするためである。

なお、情報処理装置３００は、情報処理装置１００と同様に、図８に示すコンピュータで構成されても良い。

また、情報処理装置３００は、第２の実施形態と同様に、抽出部１１１の機能に加え、抽出部２１２の機能及び削除部２１１の機能を含んでも良い。

次に、第３の実施形態に係る情報処理装置３００の動作（データ処理方法）について、図面を参照して説明する。

図１６は、第３の実施形態に係る情報処理装置３００の動作の一例を示すフローチャートである。

まず、抽出部３１１は、有効期間が所定の期間より長いパーソナル情報の集合を生成する（ステップＳ３０１）。

より具体的には、抽出部３１１は、次のように動作する。

ここで、抽出部３１１は、判定の用いる所定の期間と範囲とを、予め、保持しているとする。

例えば、抽出部３１１は、所定の期間として１ヶ月を、範囲として１年未満と１年以上とを保持する。この場合、抽出部３１１は、１ヶ月以上１年未満の集合と、１年以上の集合とを生成する。

まず、抽出部３１１は、空のリストを生成する。そして、抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報とそのパーソナル情報の有効期間とを読み込む。読み込んだパーソナル情報の有効期間が、所定の期間より長い場合、抽出部３１１は、その有効期間を含む範囲を含む集合が、リストに存在するか否かを判定する。

集合がリストに存在しない場合、抽出部３１１は、その有効期間を含む範囲を含む集合を生成し、集合をリストに登録する。集合をリストに登録後、抽出部３１１は、その有効期間の範囲を含む集合をリストから読み込み、その集合に読み込んだパーソナル情報を登録する。

一方、集合がリストに登録されている場合、抽出部３１１は、有効期間の範囲を含む集合をリストから読み込み、その集合に読み込んだパーソナル情報を登録する。

抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されているすべてのパーソナル情報を、同様に処理する。

次に、変換部１１２は、リストに要素が存在するか否かを判定する（ステップＳ１０３）。

要素が存在する場合、変換部１１２は、抽出部３１１が生成したリストの集合を、１つ取り出す。そして、変換部１１２は、取り出した集合を構成するパーソナル情報を変換する（ステップＳ１０５）。つまり、変換部１１２は、保護済パーソナル情報を生成する。

そして、変換部１１２は、結果記憶部１２２に、パーソナル情報への参照（識別子）と保護済パーソナル情報とを記憶する（ステップＳ１０７）。

変換部１１２は、リストに登録されているすべての集合に対して、同様に処理する（ステップＳ１０３）。

次に、抽出部３１１は、有効期間が短いパーソナル情報の集合を生成する（ステップＳ３０３）。

具体的には、抽出部３１１は、次のように動作する。

まず、抽出部３１１は、空のリストを生成する。そして、抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されているパーソナル情報とそのパーソナル情報の有効期間とを読み込む。読み込んだパーソナル情報の有効期間が所定の期間より短い場合、抽出部３１１は、読み込んだパーソナル情報をリストに追加する。抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されているすべてのパーソナル情報を、同様に、処理する。

変換部３１２は、集合の各要素（パーソナル情報）及び匿名化済パーソナル情報を抽象化する（ステップＳ３０４）。

具体的には、変換部３１２は、次のよう動作する。

変換部３１２は、抽出部３１１が生成したリストから、パーソナル情報を１つ取り出す。そして、変換部３１２は、取り出したパーソナル情報が表す個人が、結果記憶部１２２に記憶されている所定の数の保護済パーソナル情報（つまり、少なくとも一部の保護済パーソナル情報）を表す個人と識別できないように、取り出したパーソナル情報及び所定の数の保護済パーソナル情報を変換する。そして、変換部３１２は、変換後のパーソナル情報を、保護済パーソナル情報として、結果記憶部１２２に記憶する。変換部３１２は、抽出部３１１が生成したリストに含まれる全てのパーソナル情報を処理する。

なお、抽出部３１１は、ステップＳ１０５とステップＳ３０３を分けずに動作しても良い。例えば、抽出部３１１は、パーソナル情報の有効期間を判定し、判定結果を基に、パーソナル情報を、変換部１１２が使用するリスト又は変換部３１２が使用するリストに登録しても良い。

（動作例）
次に、本実施形態の情報処理装置３００の動作について、具体的なデータを用いて説明する。

図１７−２１は、情報処理装置３００の動作の説明に用いる、パーソナル有効情報記憶部１２１及び結果記憶部１２２が記憶するデータの一例を示す図である。

パーソナル有効情報記憶部１２１は、例えば、図１７に示すデータ３００１を記憶する。データ３００１は、病状記録（個人に関連するパーソナル情報）として、病状記録の番号（Ｎｏ．）と、患者のＺＩＰコードと、年齢と、病状とを含むデータである。また、データ３００１は、有効期間（治療を受ける回数）を含む。

また、抽出部３１１は、所定の期間として３回以上、範囲として「３〜４回」及び「５回以上」が設定されているとする。

まず、抽出部３１１は、図１８に示すデータ３００２のように、空のリストを生成する。

そして、抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されている病状記録であって、所定の期間より長い病状記録として、有効期間が３回以上の病状記録を読み込む。そして、抽出部３１１は、３〜４回及び５回以上の有効期間の病状記録の番号（Ｎｏ．）の集合を構成し、その集合を要素とするリスト［｛５，６｝：５〜６，｛２，４｝：３〜４］を生成する（ステップＳ３０１）。

変換部１１２は、リストの先頭の集合「｛５，６｝：５〜６」を取り出す。そして、変換部１１２は、集合の要素であるＮｏ．５及びＮｏ．６が表すパーソナル有効情報記憶部１２１に記憶される病状記録を、匿名化する（ステップＳ１０５）。変換部１１２は、図１９のデータ３００３の示すように、匿名化したＮｏ．５とＮｏ．６の病状記録を、結果記憶部１２２に記憶する（ステップＳ１０７）。

次に、変換部１１２は、リストの次の集合「｛２，４｝：３〜４」を取り出す。そして、変換部１１２は、集合の要素であるＮｏ．２及びＮｏ．４が表すパーソナル有効情報記憶部１２１に記憶される病状記録を、匿名化する（ステップＳ１０５）。変換部１１２は、図２０のデータ３００４に示すように、匿名化したＮｏ．２とＮｏ．４の病状記録を、結果記憶部１２２に記憶する（ステップＳ１０７）。

同様に、変換部１１２は、リストの全ての要素を処理する（ステップＳ１０３）。

次に、抽出部３１１は、空のリストを生成する。そして、抽出部３１１は、パーソナル有効情報記憶部１２１に記憶されている病状記録であって、所定の期間よりも短い病状記録として、有効期間が３回未満の病状記録を読み込む。そして、抽出部３１１は、読み込んだ病状記録を基に、リスト［｛１，３｝：１〜２］を生成する（ステップＳ３０３）。

変換部３１２は、リストの要素であるＮｏ．１及びＮｏ．３の病状記録を匿名化する。ただし、変換部３１２は、リストの要素と、結果記憶部１２２に記憶されている保護済データとを変換する。

すなわち、変換部３１２は、Ｎｏ．１及びＮｏ．３の病状記録の抽象化するデータ（ここでは、ＺＩＰコードと年齢）に、最も近い図２０のデータ３００４で示す結果記憶部１２２に記憶される病状記録の抽象化されたデータ（ＺＩＰコードと年齢）を、判別する。そして、変換部３１２は、Ｎｏ．１及びＮｏ．３の病状記録と、判別した結果記憶部１２２の病状記録とが区別できないように、Ｎｏ．１及びＮｏ．３の病状記録（各要素）及び結果記憶部１２２に記憶されている病状記録（匿名化済パーソナル情報）を変換（抽象化）する。そして、変換部３１２は、図２１に示すデータ３００５のように、結果記憶部１２２に匿名化済パーソナル情報を記憶する。

詳細に説明すると、変換部３１２は、次のように動作する。

すなわち、変換部３１２は、Ｎｏ．１及びＮｏ．３の病状記録に近い病状記録として、Ｎｏ．５及びＮｏ．６の病状記録を判別する。

そして、変換部３１２は、Ｎｏ．１の病状記録のＺＩＰコードを「１４８５３」から「１４８５＊」に変換し、年齢を「３３」から「３１−３４」に変換する。さらに、変換部３１２は、Ｎｏ．３の病状記録のＺＩＰコードを「１４８５０」から「１４８５＊」に変換し、年齢を「３１」から「３１−３４」に変換する。さらに、変換部３１２は、結果記憶部１２２に記憶されたＮｏ．５及びＮｏ．６の病状記録の年齢を「３２−３４」から「３１−３４」に変換する。

（本実施形態の効果）
このように本実施形態の情報処理装置３００は、第１及び第２の実施形態の効果に加え、同一の有効期間のパーソナル情報の数が、匿名性を確保するために十分な数でない場合でも、パーソナル情報を表す個人のプライバシーの保護する効果を提供できる。

その理由は、次のとおりである。

情報処理装置３００の変換部１１２は、有効期間が所定に期間より長いパーソナル情報の集合を匿名化する。また、変換部３１２は、有効期間が所定の期間より短いパーソナル情報を、匿名化する。つまり、情報処理装置３００は、有効期間が相対的に近いパーソナル情報の集合を匿名化する。

また、情報処理装置３００の変換部３１２は、有効期間が所定の期間より短いパーソナル情報を、個人を区別できないように、有効期間が所定の期間より長いパーソナル情報とともに匿名化する。そのため、同一の有効期間のパーソナル情報の数が十分でない場合でも、情報処理装置３００は、パーソナル情報を表す個人のプライバシーを保護できる。

さらに、情報処理装置３００は、有効期間が短いパーソナル情報を、有効期間が長いパーソナル情報と区別できないように匿名化する。そのため、攻撃者は、所定の個人の有効期間の長短を知っていても、有効期間の長短を基に個人と特定できない。

さらに、情報処理装置３００は、有効期間が長いパーソナル情報を長期間保護する効果を実現できる。

その理由は、次のとおりである。

情報処理装置３００は、所定の期間より長い集合を、複数の集合に分けて変換する。つまり、情報処理装置３００は、有効期間が長いパーソナル情報を、同程度に有効期間が長いパーソナル情報の集合として変換する。例えば、情報処理装置３００は、有効期間が１０年以上のパーソナル情報の集合を匿名化する。

そのため、例えば、ある程度の期間が経過しても、有効期間が長い集合は、集合に含まれるパーソナル情報の変更を必要としない。

例えば、情報処理装置３００は、有効期間が１０年以上のパーソナル情報の集合を匿名化したとする。この場合、数年経過しても、有効期間が１０年以上のパーソナル情報の集合への従属は、変更とならない。そのため、情報処理装置３００は、プライバシーの保護状態を維持できる。

このように、情報処理装置３００は、有効期間が長いパーソナル情報の保護を実現できる。

＜第４の実施形態＞
第４の実施形態について、図面を参照して説明する。なお、第１から第３の実施形態と同様の構成又はステップには、同じ符号を付し、詳細な説明を省略する場合がある。

まず、第４の実施形態に係る情報処理装置４００の構成について説明する。

図２２は、本実施形態に係る情報処理装置４００の構成の一例を示すブロック図である。

情報処理装置４００は、予測部４１１と、抽出部１１１と、変換部１１２と、パーソナル情報記憶部４２１と、相関記憶部４２２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。

第１の実施形態に係る情報処理装置１００は、予め、パーソナル有効情報記憶部１２１に、パーソナル情報の有効期間が与えられることを前提とする。

一方、本実施形態の情報処理装置４００は、パーソナル情報の有効期間を予測（又は、算出）する点で、情報処理装置１００と、相違する。そのため、同じ構成についての説明を省略し、相違する構成について以下に説明する。

パーソナル情報記憶部４２１は、パーソナル情報を記憶する。

相関記憶部４２２は、パーソナル情報の性質とそのパーソナル情報の有効期間との相関を記憶する。

ここで、パーソナル情報の性質とは、パーソナル情報の有効期間に関連する情報である。

例えば、パーソナル情報の性質の「癌」、「心臓病」又は「腰痛」は、有効期間が長く、パーソナル情報の性質の「インフルエンザ」又は「感染症」は、有効期間が短い。

あるいは、パーソナル情報の性質の「持家」は、有効期間が長く、パーソナル情報の性質の「ホテル」は、有効期間が短い。

例えば、パーソナル情報が図３６に示すデータ９００１のような病状記録の場合、病名が、パーソナル情報の性質に相当する。また、病名が示す疾病の平均診療回数が、有効期間に相当する。そのため、相関記憶部４２２は、例えば、病名と平均診療回数（有効期間）との相関を記憶する。

予測部４１１は、パーソナル情報記憶部４２１に記憶されているパーソナル情報について、そのパーソナル情報の性質を相関記憶部４２２から検索する。そして、予測部４１１は、パーソナル情報と、その性質に対応する有効期間とを基に、パーソナル有効情報記憶部１２１が記憶する情報を作成し、パーソナル有効情報記憶部１２１に出力する。

なお、予測部４１１は、その他の情報を参照しても良い。

例えば、予測部４１１は、図示しない記憶部に記憶されているパーソナル情報の性質（所定の属性値）に対応する有効期間の情報を、参照しても良い。

より具体的には、予測部４１１は、次のような情報を参照しても良い。

例えば、年齢が高い人は、診療期間（有効期間）が長い。そこで、図示しない記憶部が、年齢と診療期間（有効期間）との相関情報を保持する。そして、予測部４１１は、パーソナル情報の性質に対応する有効期間を、年齢情報を基に修正しても良い。

あるいは、病歴が多い人は、診療期間が長くなる。そこで、図示しない記憶部が、病歴と診療期間（有効期間）との相関情報を保持する。そして、予測部４１１は、パーソナル情報の性質に対応する有効期間を、病歴情報を基に修正しても良い。

パーソナル有効情報記憶部１２１は、パーソナル情報と、その有効期間とを記憶する。

なお、情報処理装置４００は、情報処理装置１００と同様に、図８に示すコンピュータで構成されても良い。

また、情報処理装置４００は、抽出部２１２、削除部２１１、変換部３１２、又は、抽出部３１１の機能を含んでも良い。

次に、第４の実施形態に係る情報処理装置４００の動作（データ処理方法）について、図面を参照して説明する。

図２３は、第４の実施形態に係る情報処理装置４００の動作の一例を示すフローチャートである。

予測部４１１は、パーソナル情報記憶部４２１のパーソナル情報と、相関記憶部４２２の相関とを基に、パーソナル情報と有効期間とをパーソナル有効情報記憶部１２１に書き出す（ステップＳ４０１）。

具体的には、予測部４１１は、次のように動作する。

予測部４１１は、パーソナル情報記憶部４２１に記憶されているパーソナル情報の性質を、相関記憶部４２２から検索する。そして、予測部４１１は、パーソナル情報とその性質に対応する有効期間とをパーソナル有効情報記憶部１２１に記憶する（書き出す）。予測部４１１は、パーソナル情報記憶部４２１に記憶されている全てのパーソナル情報について、同様に、処理する。

図２３に示されるステップＳ１０１〜Ｓ１０７は、第１の実施形態と同様のため、説明を省略する。

（動作例）
次に、本実施形態の情報処理装置４００の予測部４１１の動作について、具体的なパーソナル情報含むデータを用いて説明する。

図２４−２６は、情報処理装置４００の動作の説明に用いる、パーソナル情報記憶部４２１、相関記憶部４２２、及び、パーソナル有効情報記憶部１２１が記憶するデータの一例を示す図である。

パーソナル情報記憶部４２１は、例えば、図２４に示すデータ４００１を記憶する。データ４００１は、病状記録として、病状記録の番号（Ｎｏ．）と、患者のＺＩＰコードと、年齢と、病状とを含むデータである。

相関記憶部４２２は、例えば、図２５に示すデータ４００２を記憶する。データ４００２は、相関として、病状と、有効期間（通院回数）とを含むデータである。

予測部４１１は、パーソナル情報記憶部４２１に記憶されている病状記録について、病状記録の病状を相関記憶部４２２から検索して、有効期間を読み出す。そして、予測部４１１は、図２６に示すデータ４００３ように、病状記録と有効期間とをパーソナル有効情報記憶部１２１に記憶する（ステップＳ４０１）。

（本実施形態の効果）
このように、本実施形態の情報処理装置４００は、第１〜第３の実施形態の効果に加え、パーソナル情報の有効期間を予測（算出）して、パーソナル有効情報記憶部１２１に記憶する効果を提供することができる。

その理由は、次のとおりである。

情報処理装置４００の予測部４１１が、パーソナル情報記憶部４２１及び相関記憶部４２２が記憶する情報を基に、パーソナル情報と有効期間とを、パーソナル有効情報記憶部１２１に記憶させるためである。

（変形例１）
情報処理装置４００の相関記憶部４２２は、パーソナル情報の性質を、階層構造を用いて記憶しても良い。さらに、相関記憶部４２２は、全てのパーソナル情報の性質の有効期間ではなく、一部のパーソナル情報の性質の有効期間を記憶しても良い。つまり、情報処理装置４００は、パーソナル情報の性質に階層構造を備え、パーソナル情報の性質の一部に有効期間を付与しても良い。

図面を参照して説明する。

図２７は、本実施形態の相関記憶部４２２が記憶する階層構造のデータの一例を示す図である。

図２７において、最上位層の概念は、「癌」である。「癌」の下位の層の概念は、「消化器系癌」、「呼吸器系癌」である。さらに、「消化器系癌」の下位の層の概念は、「胃癌」及び「大腸癌」である。また、「呼吸器系癌」の下位の層の概念は、「肺癌」及び「咽頭癌」である。

そして、相関記憶部４２２は、「癌」の有効期間として「１０」を記憶する。

ここで、例えば、予測部４１１が、「胃癌」の有効期間を検索する場合を想定する。まず、予測部４１１は、相関記憶部４２２において、「胃癌」を検索する。そして、予測部４１１は、「胃癌」が有効期間を記憶しているか否かを判断する。「胃癌」は、有効期間を記憶していない。そこで、予測部４１１は、有効期間が見つかるまで、相関記憶部４２２の階層構造を、上位概念方向に検索する（辿る）。今の場合、有効期間の「１０」が、最上位の「癌」に、記憶されている。そのため、予測部４１１は、階層構造を辿り、「癌」の有効期間「１０」を、「胃癌」の有効期間として、検索する。

このように、予測部４１１は、個別には有効期間が付与されていないパーソナル情報の性質の有効期間を、予測できる。

本変形例の効果について説明する。

本変形例の相関記憶部４２２は、記憶容量を削減する効果、及び、有効期間が付与されていない性質の有効期間を与える効果を得ることができる。

その理由は、次のとおりである。

性質が有効期間を含まない場合、予測部４１１は、有効期間を含む性質まで、階層構造に沿って検索する。

そのため、本変形例の相関記憶部４２２は、全ての性質の有効期間を記憶する必要がなく、一部の性質の有効期間を記憶すれば良い。つまり、相関記憶部４２２は、記憶する有効期間を削減できるためである。

また、予測部４１１は、有効期間が付与されていない性質の有効期間を予測できるためである。

＜第５の実施形態＞
第５の実施形態について、図面を参照して説明する。なお、第１から第４の実施形態の同様の構成又はステップには、同じ符号を付し、明細書中の説明を省略する場合がある。

まず、第５の実施形態に係る情報処理装置５００の構成について説明する。

図２８は、本実施形態に係る情報処理装置５００の構成の一例を示すブロック図である。

情報処理装置５００は、入力部５１１と、分析部５１２と、予測部４１１と、抽出部１１１と、変換部１１２と、履歴記憶部５２１と、パーソナル情報記憶部４２１と、相関記憶部４２２と、パーソナル有効情報記憶部１２１と、結果記憶部１２２とを含む。

第４の実施形態に係る情報処理装置４００は、パーソナル情報の性質と有効期間との相関が既に与えられていることを前提とする。

一方、本実施形態の情報処理装置５００は、情報処理装置４００と、パーソナル情報の性質と有効期間との相関を導出する点で、相違する。そのため、同じ構成についての説明を省略し、相違する構成について以下に説明する。

入力部５１１は、パーソナル情報が付与された登録要求、及び、パーソナル情報を指定した削除要求を受け取る。

ここで、パーソナル情報が付与された登録要求とは、情報処理装置５００に登録するパーソナル情報を含む、パーソナル情報の登録要求である。

また、パーソナル情報を指定した削除要求とは、削除するパーソナル情報を指定するための情報を含む削除要求である。

なお、入力部５１１は、要求の送信元を特に限定されない。例えば、入力部５１１は、パーソナル情報の管理者が操作する端末、又は、ユーザが保有する携帯端末から、要求を受け取っても良い。

パーソナル情報が付与された登録要求を受け取った場合、入力部５１１は、そのパーソナル情報と、登録要求を受け付けた時刻（例えば、年月、日付、又は、日時）とを、履歴記憶部５２１に記憶する。さらに、入力部５１１は、パーソナル情報記憶部４２１に、受け取ったパーソナル情報を記憶する。

一方、パーソナル情報を指定した削除要求を受け取った場合、入力部５１１は、そのパーソナル情報と、削除要求を受け付けた時刻（例えば、年月、日付、又は、日時）とを、履歴記憶部５２１に記憶する。さらに、入力部５１１は、パーソナル情報記憶部４２１から、削除要求のパーソナル情報を削除する。

分析部５１２は、履歴記憶部５２１に記憶されているパーソナル情報の登録時刻と削除時刻日時と基に、パーソナル情報の有効期間を分析（算出）する。分析部５１２は、履歴記憶部５２１に記憶されているパーソナル情報の性質と、算出した有効期間との相関を導出する。そして、分析部５１２は、パーソナル情報の性質とその有効期間との相関を、相関記憶部４２２に記憶する。

なお、分析部５１２は、同様の属性値を含む複数のパーソナル情報を用いて、有効期間を分析（算出）しても良い。

例えば、パーソナル情報が年齢を含む場合、分析部５１２は、所定の年齢範囲を含むパーソナル情報の有効期間の平均値又は最大値を、有効期間としても良い。

履歴記憶部５２１は、上記に加え、パーソナル情報として、パーソナル情報の識別子と、パーソナル情報の性質と、そのパーソナル情報がパーソナル情報記憶部４２１に記憶されている期間とを記憶することが望ましい。

なお、情報処理装置５００は、情報処理装置１００と同様に、図８に示すコンピュータで構成されても良い。

また、情報処理装置５００は、抽出部２１２、削除部２１１、変換部３１２、又は、抽出部３１１の機能を含んでも良い。

次に、第５の実施形態に係る情報処理装置５００の動作（データ処理方法）について、図面を参照して説明する。

図２９−３１は、本実施形態に係る情報処理装置５００の動作の一例を示すフローチャートである。

情報処理装置５００は、動作として、図２９に示される「登録フェーズ」と、図３０に示される「削除フェーズ」と、図３１に示される「分析フェーズ」とを含む。

まず、図２９に示される登録フェーズの動作について説明する。

入力部５１１は、パーソナル情報が付与された登録要求を受信する。そして、入力部５１１は、パーソナル情報と、そのパーソナル情報の登録要求を受信した時刻（例えば、年月、日付、又は、日時）とを、履歴記憶部５２１に記憶する（ステップＳ５０１）。

さらに、入力部５１１は、パーソナル情報記憶部４２１に、受信したパーソナル情報を記憶する（ステップＳ５０３）。

なお、入力部５１１は、登録要求を、定期的に受信しても良く、不定期に受信してもよい。

次に、図３０に示される削除フェーズの動作について説明する。

入力部５１１は、パーソナル情報が指定された削除要求を受信する。そして、入力部５１１は、パーソナル情報と、そのパーソナル情報の削除要求を受信した時刻（例えば、年月、日付、又は、日時）とを、履歴記憶部５２１に記憶する（ステップＳ５０５）。

さらに、入力部５１１は、削除要求のパーソナル情報を、パーソナル情報記憶部４２１から削除する（ステップＳ５０７）。

なお、入力部５１１は、削除要求を、定期的に受信しても良く、不定期に受信してもよい。

次に、図３１に示される分析フェーズの動作について説明する。

分析部５１２は、履歴記憶部５２１に登録時刻と削除時刻との両方が登録されているパーソナル情報を読み出し、パーソナル情報の有効期間を算出する。つまり、分析部５１２は、パーソナル情報がパーソナル情報記憶部４２１に記憶されている期間（有効期間）を導出する。分析部５１２は、パーソナル情報を基に有効期間を導出する。そのため、有効期間は、パーソナル情報の性質と関連性がある。つまり、分析部５１２は、パーソナル情報の性質と、パーソナル情報の有効期間との相関を分析する（ステップＳ５０９）。

そして、分析部５１２は、分析した相関として、パーソナル情報の性質と、パーソナル情報の有効期間とを相関記憶部４２２に記憶する（ステップＳ５１１）。

（動作例）
次に、本実施形態の情報処理装置５００の動作について、具体的なパーソナル情報を含むデータを用いて説明する。

図３２−３５は、情報処理装置５００の動作の説明に用いる、履歴記憶部５２１、パーソナル情報記憶部４２１、及び、相関記憶部４２２が記憶するデータの一例を示す図である。

まず、２０１２年５月時点において、履歴記憶部５２１は、図３２に示すデータ５００１を記憶する。データ５００１は、Ｎｏ．１とＮｏ．３の病状と登録時刻と、Ｎｏ．２の病状と登録時刻と削除時刻とを含むデータである。

また、パーソナル情報記憶部４２１は、図３２に示すデータ５００２を記憶する。データ５００２は、Ｎｏ．１の病状記録と、Ｎｏ３．の病状記録とを含むデータである。

２０１２年６月時点において、入力部５１１は、病状記録（パーソナル情報）が付与された登録要求を受信したとする。入力部５１１は、図３３に示すデータ５００３のように、病状記録のＮｏ．の「４」と病状である「癌」とを履歴記憶部５２１に記憶する（ステップＳ５０１）。

また、入力部５１１は、図３３に示すデータ５００４のように、パーソナル情報記憶部４２１に、病状記録４の病状記録を記憶する（ステップＳ５０３）。

さらに、入力部５１１は、Ｎｏ．３の病状記録の削除要求を受信したとする。入力部５１１は、図３３に示すデータ５００３のように、履歴記憶部５２１に記憶されたＮｏ．３の病状記録の「削除」のカラムに、削除要求を受信した時刻（年月）を記憶する（ステップＳ５０５）。そして、入力部５１１は、図３３に示すデータ５００４のように、パーソナル情報記憶部４２１に記憶されるＮｏ．３の病状記録を削除する（ステップＳ５０７）。

２０１３年４月時点において、入力部５１１は、Ｎｏ．１及びＮｏ．４の病状記録の削除要求を受信したとする。入力部５１１は、図３４に示すデータ５００５のように、履歴記憶部５２１のＮｏ．１及びＮｏ．４の病状記録の削除時刻（年月）を登録する。

さらに、入力部５１１は、図３４に示すデータ５００６のように、パーソナル情報記憶部４２１に記憶されていたＮｏ．１及びＮｏ．４の情報を削除する。

分析部５１２は、履歴記憶部５２１に記憶されているＮｏ．１からＮｏ．４の病状記録を読み込み、それぞれの病状に対する有効期間を算出する（ステップＳ５０９）。

そして、分析部５１２は、図３５に示すデータ５００７のように、病状（パーソナル情報の性質）と算出した有効期間との相関を、相関記憶部４２２に記憶する（ステップＳ５１１）。

（本実施形態の効果）
このように、本実施形態の情報処理装置５００は、第４の実施形態の効果に加え、パーソナル情報の性質と有効期間との相関の入力を削減できる効果を提供できる。

その理由は、次のとおりである。

情報処理装置５００の入力部５１１は、受信したパーソナル情報と、登録要求の時刻と、削除要求の時刻とを履歴記憶部５２１に記憶する。

そして、分析部５１２は、履歴記憶部５２１が記憶した履歴情報を基に、パーソナル情報の性質と有効期間との相関を算出し、相関記憶部４２２に記憶するためである。

さらに、情報処理装置５００は、有効期間の予測の精度を向上できる効果を得ることができる。

その理由は、次のとおりである。

分析部５１２は、同様の属性値を含むパーソナル情報の有効期間を基に、有効期間を分析しても良い。誤差は、一般的に、正しい値を中心に分散して発生する。そのため、分析部５１２は、複数の情報を用いて、誤差の影響を低減できる、つまり、単独の情報が誤差を含む場合でも、分析部５１２は、同様の属性値を含むパーソナル情報の分析を基に、誤差の影響を低減できる。そのため、情報処理装置５００は、適切な有効期間を分析できるからである。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する抽出手段と、
前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する変換手段と、
を含む情報処理装置。

（付記２）
前記変換手段の変換が前記パーソナル情報の匿名化処理である
付記１に記載の情報処理装置
（付記３）
前記パーソナル情報と、前記パーソナル情報の有効期間との組を記憶するパーソナル有効情報記憶手段と、
前記変換後のパーソナル情報を記憶する結果記憶手段と、
を含む付記１又は付記２に記載の情報処理装置。

（付記４）
変換する前のパーソナル情報が前記パーソナル有効情報記憶手段に記憶されていない前記変換後のパーソナル情報を前記結果記憶手段から削除する削除手段を含み、
前記抽出手段が、前記変換手段が変換していない前記パーソナル有効情報記憶手段に記憶されているパーソナル情報を要素とする集合を抽出する
付記３に記載の情報処理装置。

（付記５）
前記抽出手段が、所定の期間より長い有効期間のパーソナル情報の集合と所定の期間より短い有効期間のパーソナル情報の集合とを抽出し、
前記変換手段が、有効期間が短いパーソナル情報の集合に含まれるパーソナル情報の少なくとも一部と前記変換後のパーソナル情報の少なくとも一部とが同様の変換後のパーソナル情報となるように、前記パーソナル情報の一部及び前記変換後のパーソナル情報の一部を変換する
付記１乃至付記４のいずれか１項に記載の情報処理装置。

（付記６）
前記抽出手段が、前記所定の期間より長い有効期間のパーソナル情報の集合を複数抽出し、
前記変換手段が、前記抽出した複数の集合毎に前記パーソナル情報を変換する
付記５に記載の情報処理装置。

（付記７）
パーソナル情報と、パーソナル情報の性質と有効期間との相関と、を基に、前記パーソナル情報の有効期間を予測する予測手段
を含む付記１乃至付記６のいずれか１項に記載の情報処理装置。

（付記８）
前記予測手段が、
前記パーソナル情報に含まれる属性値を用いて有効期間を予測する
付記７に記載の情報処理装置。

（付記９）
前記パーソナル情報の性質が階層構造を備え、前記性質の一部に有効期間を付与する
付記７又は付記８に記載の情報処理装置。

（付記１０）
前記予測手段が、前記パーソナル情報の性質の階層構造を辿って前記有効期間を検索する
付記９に記載の情報処理装置。

（付記１１）
前記パーソナル情報が記憶された時刻と、前記パーソナル情報が削除された時刻とを基に、前記パーソナル情報の有効期間を分析する分析手段、
を含む付記１乃至付記１０のいずれか１項に記載の情報処理装置。

（付記１２）
前記分析手段が、
前記パーソナル情報と同様の属性値を含むパーソナル情報の有効期間を基に、有効期間を分析する
付記１１に記載の情報処理装置。

（付記１３）
個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出し、
前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する
データ処理方法。

（付記１４）
個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する処理と、
前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する処理と
をコンピュータに実行させるプログラム。

１００ 情報処理装置
１０１ 情報処理装置
１１１ 抽出部
１１２ 変換部
１２１ パーソナル有効情報記憶部
１２２ 結果記憶部
２００ 情報処理装置
２１１ 削除部
２１２ 抽出部
３００ 情報処理装置
３１１ 抽出部
３１２ 変換部
４００ 情報処理装置
４１１ 予測部
４２１ パーソナル情報記憶部
４２２ 相関記憶部
５００ 情報処理装置
５１１ 入力部
５１２ 分析部
５２１ 履歴記憶部
６００ 情報処理装置
６１０ ＣＰＵ
６２０ ＲＯＭ
６３０ ＲＡＭ
６４０ 内部記憶装置
６５０ ＩＯＣ
６６０ 入力機器
６７０ 表示機器
６８０ ＮＩＣ
７００ 記憶媒体
１００１ データ
１００２ データ
１００３ データ
１００４ データ
２００１ データ
２００２ データ
２００３ データ
２００４ データ
２００５ データ
３００１ データ
３００２ データ
３００３ データ
３００４ データ
３００５ データ
４００１ データ
４００２ データ
４００３ データ
５００１ データ
５００２ データ
５００３ データ
５００４ データ
５００５ データ
５００６ データ
５００７ データ
９００１ データ
９００２ データ

Claims (14)

1. 個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する抽出手段と、
   前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する変換手段と、
   を含む情報処理装置。
2. 前記変換手段の変換が前記パーソナル情報の匿名化処理である
   請求項１に記載の情報処理装置
3. 前記パーソナル情報と、前記パーソナル情報の有効期間との組を記憶するパーソナル有効情報記憶手段と、
   前記変換後のパーソナル情報を記憶する結果記憶手段と、
   を含む請求項１又は請求項２に記載の情報処理装置。
4. 変換する前のパーソナル情報が前記パーソナル有効情報記憶手段に記憶されていない前記変換後のパーソナル情報を前記結果記憶手段から削除する削除手段を含み、
   前記抽出手段が、前記変換手段が変換していない前記パーソナル有効情報記憶手段に記憶されているパーソナル情報を要素とする集合を抽出する
   請求項３に記載の情報処理装置。
5. 前記抽出手段が、所定の期間より長い有効期間のパーソナル情報の集合と所定の期間より短い有効期間のパーソナル情報の集合とを抽出し、
   前記変換手段が、有効期間が短いパーソナル情報の集合に含まれるパーソナル情報の少なくとも一部と前記変換後のパーソナル情報の少なくとも一部とが同様の変換後のパーソナル情報となるように、前記パーソナル情報の一部及び前記変換後のパーソナル情報の一部を変換する
   請求項１乃至請求項４のいずれか１項に記載の情報処理装置。
6. 前記抽出手段が、前記所定の期間より長い有効期間のパーソナル情報の集合を複数抽出し、
   前記変換手段が、前記抽出した複数の集合毎に前記パーソナル情報を変換する
   請求項５に記載の情報処理装置。
7. パーソナル情報と、パーソナル情報の性質と有効期間との相関と、を基に、前記パーソナル情報の有効期間を予測する予測手段
   を含む請求項１乃至請求項６のいずれか１項に記載の情報処理装置。
8. 前記予測手段が、
   前記パーソナル情報に含まれる属性値を用いて有効期間を予測する
   請求項７に記載の情報処理装置。
9. 前記パーソナル情報の性質が階層構造を備え、前記性質の一部に有効期間を付与する
   請求項７又は請求項８に記載の情報処理装置。
10. 前記予測手段が、前記パーソナル情報の性質の階層構造を辿って前記有効期間を検索する
    請求項９に記載の情報処理装置。
11. 前記パーソナル情報が記憶された時刻と、前記パーソナル情報が削除された時刻とを基に、前記パーソナル情報の有効期間を分析する分析手段、
    を含む請求項１乃至請求項１０のいずれか１項に記載の情報処理装置。
12. 前記分析手段が、
    前記パーソナル情報と同様の属性値を含むパーソナル情報の有効期間を基に、有効期間を分析する
    請求項１１に記載の情報処理装置。
13. 情報処理装置が、
    個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出し、
    前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する
    データ処理方法。
    
    
14. 個人に関連する属性値を含むパーソナル情報と前記パーソナル情報の有効期間とを基に、所定の範囲の期間に含まれる有効期間に対応するパーソナル情報を要素とする集合を抽出する処理と、
    前記集合に含まれるパーソナル情報を、匿名性を満たす情報に変換する処理と
    をコンピュータに実行させるプログラム。

Images