JP6154933B1 - グループ化装置、グループ化方法及びコンピュータプログラム - Google Patents

Abstract

【課題】匿名性及び有用性の双方を保つことが可能な匿名化技術を提供すること。【解決手段】匿名化されていない属性の値を有する非匿名化情報である複数のレコードを取得し、各グループに含まれるレコードの数が均等化するように複数のグループに分ける。【選択図】図１

Description

本発明は、情報の匿名化技術に関する。

従来、多くの情報をビッグデータとして収集し、それらを解析することによって新たな情報を取得することが行われている。ビッグデータには、個人の情報などそのままでは解析にかけることができない情報も含まれている。そのため、収集された情報を二次利用することが可能となるように、収集された情報に対して匿名化処理が行われている。

特開２０１５−０４６０３０号公報

しかしながら、従来の匿名化処理では匿名性及び有用性のバランスを適切に保つことが困難であった。
上記事情に鑑み、本発明は、匿名性及び有用性の双方を保つことが可能な匿名化技術を提供することを目的としている。

本発明の一態様は、匿名化されていない属性の値を有する非匿名化情報である複数のレコードを、各グループに含まれるレコードの数が均等化するように複数のグループに分ける均等化処理部、を備えるグループ化装置である。

本発明の一態様は、上記グループ化装置であって、前記均等化処理部は、一つのグループに含まれるレコードの数の最小限の数を変えて複数のパターンでグループ分けを実行し、前記複数のパターンのグループ分けの中から、所定の条件に基づいて一つのグループ分けを選択する。

本発明の一態様は、上記グループ化装置であって、前記均等化処理部は、前記複数のパターンのグループ分けの中から、生成されたグループの数が最も多く、且つ、各グループに含まれるレコードの数の分散が最も小さいグループ分けを選択する。

本発明の一態様は、上記グループ化装置であって、前記非匿名化情報に関する条件の定義を示す条件情報を取得する条件情報取得部をさらに備え、前記均等化処理部は、前記条件情報に基づいて前記複数のレコードをグループに分ける。

本発明の一態様は、上記グループ化装置であって、前記条件情報は、前記属性の値に関する閾値に基づいて前記属性の値を複数のクラスに分類する情報であり、前記均等化処理部は、クラス毎に前記レコードをグループ分けする。

本発明の一態様は、上記グループ化装置であって、前記条件情報は、一つの属性の値に関して与えられる複数のサブ属性を示す情報であり、前記均等化処理部は、前記サブ属性の値に基づいて前記レコードをグループ分けする。

本発明の一態様は、匿名化されていない属性の値を有する非匿名化情報である複数のレコードを取得するステップと、各グループに含まれるレコードの数が均等化するように複数のグループに分ける均等化処理ステップと、を有するグループ化方法である。

本発明の一態様は、匿名化されていない属性の値を有する非匿名化情報である複数のレコードを取得するステップと、各グループに含まれるレコードの数が均等化するように複数のグループに分ける均等化処理ステップと、をコンピュータに実行させるためのコンピュータプログラムである。

本発明により、匿名化処理において匿名性及び有用性の双方を保つことが可能となる。

匿名化システム１のシステム構成を表すシステム構成図である。 グループ化装置２０の処理の流れの具体例を示すフローチャートである。 グループ化装置２０が行う均等化処理の流れの具体例を示すフローチャートである。 均等化処理部２０２による均等化処理の具体例を示す図である。 グループ化装置２０の動作の流れの変形例を示すフローチャートである。 均等化処理部２０２による均等化処理の変形例の具体例を示す図である。

図１は、匿名化システム１のシステム構成を表すシステム構成図である。匿名化システム１は、非匿名化情報記憶部１０、グループ化装置２０、グループ情報記憶部３０、匿名化処理部４０及び匿名化情報記憶部５０を備える。

非匿名化情報記憶部１０は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。非匿名化情報記憶部１０は、匿名化されていない情報（以下「非匿名化情報」という。）を記憶する。非匿名化情報は、少なくとも１以上の属性を含む。１又は複数の属性の組み合わせによって表される情報のかたまりをレコードと呼ぶ。例えば、血圧値のレコードは、測定日時と、測定対象の人物を示す識別情報（例えば氏名、診察券番号など）と、血圧値と、の各属性の値を有する。非匿名化情報は、このようなレコードとして表されてもよい。

非匿名化情報記憶部１０によって記憶される非匿名化情報において、匿名化の対象となっている属性（以下「匿名化対象属性」という。）は、例えば数値によって表される。例えば、匿名化対象属性は、価格、血圧、気温、消費電力量、給与、動作の回数（例：購入回数、閲覧回数）、年齢である。なお、非匿名化情報記憶部１０が記憶する情報の一部には、既に匿名化された情報が含まれていてもよい。

非匿名化情報記憶部１０は、さらに条件情報を記憶する。条件情報は、非匿名化情報に関する条件の定義を示す情報である。条件情報の具体例として、閾値定義、情報連結定義がある。閾値定義は、属性の値に関して予め与えられた閾値を示す情報である。閾値によって複数のクラスが定義される。例えば、属性が血圧である数値に対して予め与えられる閾値定義として、血圧の値が９０以下の低血圧というクラス、血圧の値が９０〜１４０の正常血圧というクラス、血圧の値が１４０以上の高血圧というクラス、という３つのクラスの定義がある。情報連結定義は、一つの属性の値に関して与えられる複数のサブ属性を示す情報である。例えば、属性が年月日である数値に対して予め与えられる情報連結定義として、最初の４桁の数値が年を表し、次の２桁の数値が月を表し、最後の２桁の数値が日を表す、という定義がある。この場合、年、月、日という３つのサブ属性が定義されている。

グループ化装置２０は、非匿名化情報記憶部１０に記憶される非匿名化情報の複数のレコードを、複数のグループに分類する。グループ化装置２０は、メインフレームやワークステーションやパーソナルコンピュータなどの情報処理装置を用いて構成される。グループ化装置２０は、バスで接続されたＣＰＵ（Central Processing Unit）やメモリや補助記憶装置などを備える。グループ化装置２０は、グループ化プログラムを実行することによって、条件情報取得部２０１及び均等化処理部２０２を備える装置として機能する。なお、グループ化装置２０の各機能の全て又は一部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＰＬＤ（Programmable Logic Device）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアを用いて実現されても良い。

条件情報取得部２０１は、非匿名化情報記憶部１０から、匿名化対象属性に関する条件情報を取得する。条件情報取得部２０１は、取得された条件情報を均等化処理部２０２に出力する。

均等化処理部２０２は、非匿名化情報記憶部１０から、匿名化処理の対象となる非匿名化情報の複数のレコードを取得する。均等化処理部２０２は、取得された複数のレコードに基づいて均等化処理を実行する。均等化処理の実行によって、均等化処理部２０２は、取得された複数のレコードを、各グループに含まれるレコードの数が均等化するように複数のグループに分ける。均等化処理において、均等化処理部２０２は、各グループに含まれるレコードの数が、予め指定された最小限の数を下回らないようにグループ化を行う。最小限の数は、例えばｋ匿名化処理における“ｋ”の値である。均等化処理部２０２は、均等化処理の結果を示す情報（以下「グループ情報」という。）をグループ情報記憶部３０に記録する。グループ情報は、均等化処理によって生成された各グループに属するレコードを示す。グループ情報は、例えば各グループの定義を示す情報（以下「グループ定義情報」という。）と、各グループに属するレコードを示す情報（以下「レコード帰属情報」という。）とを含む。

グループ情報記憶部３０は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。グループ情報記憶部３０は、グループ化装置２０によって生成されたグループ情報を記憶する。

匿名化処理部４０は、グループ情報記憶部３０に記憶されているグループ情報に基づいて、非匿名化情報記憶部１０に記憶されている非匿名化情報に対し匿名化処理を行う。例えば、匿名化処理部４０は、各グループに属しているレコードの匿名化対象属性の値を、そのグループに属している各レコードの値を一般化することによって得られる値に置き換えることによって匿名化する。例えば、あるグループに属しているレコードの匿名化対象属性の値が１０，１１，１３，１４である場合、範囲を示す“１０−１５”という値や、中央値又は平均値を示す“１２”という値などに置き換えることによって匿名化処理が行われる。匿名化処理部４０は、このような匿名化処理の実行によって、非匿名化情報の匿名化対象属性の値が匿名化された情報（以下「匿名化情報」という。）を生成する。

匿名化情報記憶部５０は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。匿名化情報記憶部５０は、匿名化処理部４０によって生成された匿名化情報を記憶する。

図２は、グループ化装置２０の処理の流れの具体例を示すフローチャートである。まず、条件情報取得部２０１は、匿名化処理の対象となっている複数のレコードに関する条件情報を非匿名化情報記憶部１０から取得する（ステップＳ１０１）。取得された条件情報に情報連結定義及び閾値定義が含まれない場合（ステップＳ１０２−なし、ステップＳ１０３−なし）、すなわち匿名化対象属性の値が単に数値として表される場合、均等化処理部２０２は匿名化対象のレコードに対して均等化処理を実行する（ステップＳ１０４）。

一方、情報連結定義はないものの閾値定義がある場合（ステップＳ１０２−なし、ステップＳ１０３−あり）、均等化処理部２０２はクラス分割処理を実行する（ステップＳ１０５）。クラス分割処理では、均等化処理部２０２は匿名化対象の複数のレコードを、閾値定義に基づいて複数のクラスに分割する。そして、均等化処理部２０２は、クラス毎に均等化処理を実行する（ステップＳ１０６）。このような処理により、閾値定義が存在する場合の均等化処理では、一つのグループに複数のクラスのレコードが分類されてしまうことが防止される。そのため、グループ化によって閾値の意義が滅却されてしまうことを防止できる。

情報連結定義がある場合（ステップＳ１０２−あり）、均等化処理部２０２はサブ属性分割処理を実行する（ステップＳ１０７）。サブ属性分割処理では、均等化処理部２０２は匿名化対象の複数のレコードにおいて匿名化対象属性の値を情報連結定義に基づいて複数のサブ属性に分割する。

サブ属性について閾値定義がない場合には（ステップＳ１０８−なし）、均等化処理部２０２は、サブ属性のうち匿名化処理の対象となっているサブ属性について均等化処理を実行する（ステップＳ１０９）。例えば、情報連結定義が“年”、“月”、“日”を示す定義であり、匿名化処理の対象となっているサブ属性が“月”である場合には、“年”及び“日”の値を無視して“月”のサブ属性の値のみに基づいて均等化処理が実行される。この場合、１月という値を有するレコードは、たとえサブ属性“年”の値がそれぞれ異なるレコード（例えば、２０００年と２０１０年）であっても、同一のグループに分類される。例えば、情報連結定義が“年月”、“日”を示す定義であり、匿名化処理の対象となっているサブ属性が“年月”である場合には、“日”の値を無視して“年月”のサブ属性の値のみに基づいて均等化処理が実行される。この場合、“２０００年１月”という値を有するレコードと“２０１０年１月”という値を有するレコードとは、それぞれ異なるグループに属する可能性がある。

サブ属性について閾値定義がある場合には（ステップＳ１０８−あり）、均等化処理部２０２は、サブ属性のうち匿名化処理の対象となっているサブ属性について、クラス分割処理を実行する（ステップＳ１１０）。そして、均等化処理部２０２は、サブ属性のうち匿名化処理の対象となっているサブ属性について、クラス毎に均等化処理を実行する（ステップＳ１１１）。

図３は、グループ化装置２０が行う均等化処理の流れの具体例を示すフローチャートである。まず、均等化処理部２０２は、匿名化処理の対象となっているレコードを、匿名化対象属性の値（匿名化処理の対象となっているサブ属性の値を含む）に基づいて昇順にソートする（ステップＳ２０１）。次に、均等化処理部２０２は、匿名化対象属性の値が最小のレコードから、レコード個数ｎ＝ａになるまでレコード個数をカウントする（ステップＳ２０２）。“ａ”の値は、予め指定された最小限の数以上の値である。例えば、ｋ匿名化が実行される場合には、“ａ”の値は、ｋ以上の値を有する。ｎ＝ａの値までカウントできた場合、すなわちａ個のレコードが存在した場合（ステップＳ２０３−ＹＥＳ）、均等化処理部２０２は、最後にカウントされたレコードの匿名化対象属性の値と、その次のレコードの匿名化対象属性の値とを比較する（ステップＳ２０４）。これらの値が等しい場合（ステップＳ２０４−ＹＥＳ）、均等化処理部２０２は、次のレコ−ドまでカウントし（ステップＳ２０５）、再度ステップＳ２０４の処理を実行する。最後にカウントされたレコードの匿名化対象属性の値と、その次のレコードの匿名化対象属性の値とが異なる場合（ステップＳ２０４−ＮＯ）、均等化処理部２０２は、カウントされたレコードを一つのグループとして定義する（ステップＳ２０６）。均等化処理部２０２は、カウントされたレコードの個数を示す値（レコード個数ｎ）をリセットする。すなわち、レコード個数ｎの値を“０”にする（ステップＳ２０７）。均等化処理部２０２は、最後にカウントされたレコードの次のレコードから、レコード個数ｎ＝ａになるまでレコード個数をカウントする（ステップＳ２０８）。そしてステップＳ２０３の処理に戻る。

ステップＳ２０３の処理において、ｎ＝ａの値までカウントできなかった場合、すなわちａ個のレコードが存在しなかった場合（ステップＳ２０３−ＮＯ）、カウントされたレコードを、直前に定義されたグループに追加する（ステップＳ２０９）。以上で、均等化処理が終了する。

図４は、均等化処理部２０２による均等化処理の具体例を示す図である。図４（Ａ）は、昇順ソートが完了した非匿名化情報の具体例である。匿名化対象属性は“スコア”である。図４（Ｂ）は、最小限の数＝５として実行された均等化処理の結果の具体例である。まず、均等化処理部２０２は、最小値３０に相当するＮＯ１からレコード数ｎ＝５となるＮＯ５までカウントする（ステップＳ２０２，Ｓ２０３−ＹＥＳ）。最後のレコード（ＮＯ５）の値“４０”と、次のレコードの値“４３”とは異なる（ステップＳ２０４−ＮＯ）。均等化処理部２０２は、カウントしたレコードＮＯ１〜ＮＯ５を一つ目のグループ（グループ１）として定義し（ステップＳ２０６）、レコード数ｎをリセットする（ステップＳ２０７）。均等化処理部２０２は、次のレコードであるレコードＮＯ６からレコード数ｎ＝５となるＮＯ１０までカウントする（ステップＳ２０８）。

均等化処理部２０２は、このような処理を繰り返し、レコードＮＯ１６〜２０を含むグループ４まで定義する。次に、均等化処理部２０２は、レコードＮＯ２１からレコード数ｎ＝５となるまでカウントする（ステップＳ２０８）。しかし、非匿名化情報にはレコードＮＯ２３までしか存在しないため、ｎ＝５までカウントできない（ステップＳ２０３−ＮＯ）。均等化処理部２０２は、カウントできたレコードＮＯ２１〜２３までのレコードを、直前のグループであるグループ４に追加する（ステップＳ２０９）。このような処理によって、図４（Ｂ）に示されるようなグループ分けが完了する。

このように構成されたグループ化装置２０では、匿名性及び有用性の双方を保つことが可能になる。具体的には以下のとおりである。

グループ化装置２０が実行する均等化処理では、匿名化処理の対象となる複数のレコードは、各グループに含まれるレコードの数が均等化するように複数のグループに分けられる。そのため、極端に多くのレコードを有したグループが生じることを防止できる。その結果、匿名化対象属性の値が極端に丸められてしまうことによるデータの有用性の低下を抑止することが可能となる。

また、各グループに含まれるレコードの数は、予め指定された最小限の数（例えばｋ匿名化処理における“ｋ”の値）を下回らないようにグループ化が行われる。そのため、最小限の数を下回った数のレコードのみを有するグループが生じることを防止できる。その結果、極端にレコードが少ないグループ（例えば１つしかレコードを有しないグループ）が生じてしまうことによる匿名性の低下を抑止することが可能となる。

（変形例）
図５は、グループ化装置２０の動作の流れの変形例を示すフローチャートである。以下、変形例の処理の流れについて説明する。なお、図３におけるフローチャートに示される処理と同じ処理については、図５においても同じ符号を付して説明を省略する。また、図５のフローチャートの処理の開始時点では“ａ”に対して予め定められた初期値が与えられている。予め定められた初期値は、例えば予め指定された最小限の数であってもよいし、予め指定された最小限の数よりも大きい値であってもよい。

ステップＳ２０３の処理において、ｎ＝ａの値までカウントできなかった場合、すなわちａ個のレコードが存在しなかった場合（ステップＳ２０３−ＮＯ）、均等化処理部２０２は、その時点までにカウントされたレコード個数ｎがａの初期値以上であるか否か判定する（ステップＳ３０１）。レコード個数ｎがａの初期値以上である場合（ステップＳ３０１−ＹＥＳ）、均等化処理部２０２はカウントされたレコードを一つのグループとして定義する（ステップＳ３０２）。一方、レコード個数ｎがａの初期値未満である場合（ステップＳ３０１−ＮＯ）、均等化処理部２０２は、カウントされたレコードを直前に定義されたグループに追加する（ステップＳ３０３）。ここまでの処理によって、一つのグループ情報が定義される。

ステップＳ３０２又はステップＳ３０３の処理の後、均等化処理部２０２は、ステップＳ２０２〜Ｓ３０１の処理を所定の回数繰り返し実行したか否か判定する（ステップＳ３０４）。所定の回数繰り返して実行されていない場合（ステップＳ３０４−ＮＯ）、均等化処理部２０２は、“ａ”の値をインクリメントする（ステップＳ３０５）。そして、均等化処理部２０２は、インクリメント後の“ａ”の値を用いてステップＳ２０２以降の処理を実行する。そして、繰り返し実行された処理の回数に応じたグループ情報が生成される。所定の回数繰り返して実行された場合（ステップＳ３０４−ＹＥＳ）、均等化処理部２０２は、それまでに定義されたグループ情報の中から一つのグループ情報を選択する（ステップＳ３０６）。そして、均等化処理部２０２は、選択されたグループ情報を出力する。なお、所定の回数は、匿名化システム１のユーザによって設定された回数であってもよいし、匿名化システム１の設計者によって予め設定された回数であってもよいし、他の者によって設定された回数であってもよい。

図６は、均等化処理部２０２による均等化処理の変形例の具体例を示す図である。図６（Ａ）は、昇順ソートが完了した非匿名化情報の具体例である。匿名化対象属性は“スコア”である。図６（Ｂ）は、ａ＝５として実行された均等化処理の結果の具体例である。図６（Ｃ）は、ａ＝６として実行された均等化処理の結果の具体例である。図６（Ｄ）は、ａ＝７として実行された均等化処理の結果の具体例である。図６（Ｅ）は、ａ＝８として実行された均等化処理の結果の具体例である。均等化処理部２０２は、このような複数のグループ情報の中から、所定の条件に基づいてグループ情報を選択する。例えば、各グループに含まれるレコードの数の分散が最も小さいグループ情報が選択されてもよい。この場合、ａ＝８のグループ情報が選択される。例えば、生成されたグループの数が最も多いグループ情報のうち、各グループに含まれるレコードの数の分散が最も小さいグループ情報が選択されてもよい。この場合、ａ＝６のグループ情報が選択される。

このように構成されたグループ化装置２０によれば、各グループに含まれるレコードの数をより均等にすることが可能となる。また、生成されたグループの数が最も多いグループ情報のうち、各グループに含まれるレコードの数の分散が最も小さいグループ情報が選択されるように構成された場合には、グループの数が最大であることによってデータの有用性を維持しつつ、レコードの数を均等化することで匿名性を高めることが可能となる。

その他の変形例を以下に記載する。匿名化システム１は、非匿名化情報記憶部１０、グループ情報記憶部３０、匿名化情報記憶部５０のいずれか一つ又は複数を備えないように構成されてもよい。この場合、各記憶部に相当する構成が、匿名化システム１の外部に設けられる。匿名化システム１に含まれる構成（グループ化装置２０及び匿名化処理部４０）は、匿名化システム１の外部に設けられた各記憶部に相当する構成とネットワークを介して通信し、記憶されている情報を取得する。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１…匿名化システム， １０…非匿名化情報記憶部， ２０…グループ化装置， ３０…グループ情報記憶部， ４０…匿名化処理部， ５０…匿名化情報記憶部， ２０１…条件情報取得部， ２０２…均等化処理部

Claims (7)

1. 匿名化されていない属性の値を有する非匿名化情報である複数のレコードを、各グループに含まれるレコードの数が均等化するように複数のグループに分ける均等化処理部、
   を備え、
   前記均等化処理部は、一つのグループに含まれるレコードの数の最小限の数を変えて複数のパターンでグループ分けを実行し、前記複数のパターンのグループ分けの中から、所定の条件に基づいて一つのグループ分けを選択し、
   前記均等化処理部は、前記複数のパターンのグループ分けの中から、各グループに含まれるレコードの数の分散が最も小さいグループ分けを選択するグループ化装置。
2. 前記均等化処理部は、前記複数のパターンのグループ分けの中から、生成されたグループの数が最も多く、且つ、各グループに含まれるレコードの数の分散が最も小さいグループ分けを選択する、請求項１に記載のグループ化装置。
3. 前記非匿名化情報に関する条件の定義を示す条件情報を取得する条件情報取得部をさらに備え、
   前記均等化処理部は、前記条件情報に基づいて前記複数のレコードをグループに分ける、請求項１又は２に記載のグループ化装置。
4. 前記条件情報は、前記属性の値に関する閾値に基づいて前記属性の値を複数のクラスに分類する情報であり、
   前記均等化処理部は、クラス毎に前記レコードをグループ分けする、請求項３に記載のグループ化装置。
5. 前記条件情報は、一つの属性の値に関して与えられる複数のサブ属性を示す情報であり、
   前記均等化処理部は、前記サブ属性の値に基づいて前記レコードをグループ分けする、請求項３に記載のグループ化装置。
6. 情報処理装置が、匿名化されていない属性の値を有する非匿名化情報である複数のレコードを取得するステップと、
   情報処理装置が、各グループに含まれるレコードの数が均等化するように複数のグループに分ける均等化処理ステップと、
   を有し、
   前記均等化処理ステップでは、前記情報処理装置は、一つのグループに含まれるレコードの数の最小限の数を変えて複数のパターンでグループ分けを実行し、前記複数のパターンのグループ分けの中から、所定の条件に基づいて一つのグループ分けを選択し、
   前記均等化処理ステップでは、前記情報処理装置は、前記複数のパターンのグループ分けの中から、各グループに含まれるレコードの数の分散が最も小さいグループ分けを選択するグループ化方法。
7. 匿名化されていない属性の値を有する非匿名化情報である複数のレコードを取得するステップと、
   各グループに含まれるレコードの数が均等化するように複数のグループに分ける均等化処理ステップと、
   をコンピュータに実行させ、
   前記均等化処理ステップでは、一つのグループに含まれるレコードの数の最小限の数を変えて複数のパターンでグループ分けを実行し、前記複数のパターンのグループ分けの中から、所定の条件に基づいて一つのグループ分けを選択し、
   前記均等化処理ステップでは、前記複数のパターンのグループ分けの中から、各グループに含まれるレコードの数の分散が最も小さいグループ分けを選択するためのコンピュータプログラム。

Images