JP6214167B2 - 情報処理システム、情報処理方法、及び情報処理プログラム - Google Patents

Description

本発明は、個人情報を匿名化又は多様化して利用する技術に関する。

情報処理技術の発展に伴い、日常の多くの場面で情報が収集され、この収集された情報を用いた処理が行われている。例えば、消費者が店舗の会員となって商品を購入する場合、会員登録時に消費者の氏名、年齢、性別、住所、メールアドレス等を登録することが多い。そして、消費者が商品を購入すると、店舗側のシステムが、この消費者と購入した商品の情報を対応付けて記録する。このように購入した商品の情報を蓄積して分析すると、当該消費者の嗜好が推定でき、この消費者が好む新商品が発売されたような場合にダイレクトメールを発送するといったサービスを行うことができる。更に、多くの消費者の情報について分析することで、例えば、２０代女性の好む商品や関東エリアで好まれる商品といった分類した消費者の情報を導くことができ、マーケティング等に利用される。

これらの情報は、当該店舗だけでなく、商品を製造するメーカや、他の企業にとっても利用価値が高く、例えば広告やクーポン等のレコメンドに用いたいという要求があった。

しかし、店舗が有する消費者の個人情報を各消費者の許諾を得ずに、他者へ提供することはできない。同様に医療機関等で患者が診療を受けた際の情報（診療情報）を利用したいという要求があるが、機微情報でもある診療情報を各患者の許諾を得ずに、他者へ提供することはできない。

このため個人から収集した情報を匿名化して他の事業者等に提供し、他の事業者からの広告を各個人へ仲介するシステムが提案されている。例えば、特開２００５−３４６２４８号公報（特許文献５）では、診療情報（個人特定情報及び診断結果情報）から氏名等を除外して匿名化個人情報とし、匿名化個人情報を登録事業者に提供し、登録事業者から前記匿名化個人情報に対する広告メールを受け付け、当該広告メールを匿名化個人情報と対応する各個人のメールアドレス宛てに転送する情報仲介装置が提案されている。

特開２００３−１９６３９１号公報 特開２００３−２３３５５１号公報 特開２００５−１００４０８号公報 特開２００４−０８６３８３号公報 特開２００５−３４６２４８号公報

特許文献５のシステムは、氏名等を除外することで、匿名化を行っているが、単に氏名を伏せるだけでは、匿名化が不十分な場合がある。

例えば、年齢と病名が記載されているデータに２５歳で病名Ｘの人が一人だけであると、２５歳の知人がその病名Ｘの患者であることを知った時点で、その人を特定できることになる。即ち、２５歳で病名Ｘという属性を持つ人が一人だけであると、他の情報と照らし合わせることで、個人を特定できる可能性が高い。

そこで、患者データの年齢の記載を１０歳区切りに抽象化し、２０代で病名Ｘの人が３人のように同じ属性を持つ人が複数人となるようにすれば、３人のうちの誰であるかを特定できなくなる。このように同じ属性を持つ人がｋ人以上いる状態を、「k-匿名性」を満たすと称し、そのようにデータを加工することを「k-匿名化」と称する。

従来の匿名化を行う装置では、k-匿名性を満たすように各項目の値を抽象化する場合、単に同じ属性値が複数となるようにデータを区切るため、例え匿名性を満たしても利用価値の無いデータとなってしまうことがある。例えば、発育の研究をするためにデータを利用する場合、年齢の項目は重要であり、匿名化のために年齢の項目を抽象化し過ぎると、利用価値が無くなってしまう。この場合、操作者が抽象化する項目の優先度を指定し、年齢の項目の抽象化を少なくし、年齢以外の項目を抽象化することでk-匿名性を満たすようにする。また、匿名化のため、年齢の項目を１７歳以上２２歳未満のように区切ると、同一グループに成年と未成年が混在したり、高校生と社会人が混在したりすることになり、利用目的によっては価値の無いデータになってしまう。この場合、操作者が利用目的に応じて年齢の項目の区切りを指定し、他の項目を抽象化することで匿名性を満たすようにする。

このように従来の匿名化を行う装置でk-匿名化を行った場合、操作者の判断を必要とする機会が多く、実用的ではなかった。

従って、個人情報を従来の装置で機械的に匿名化して外部へ出力し、広告やクーポン等のレコメンドに利用するシステムでは、k-匿名性を満たすような匿名化を行うことができず、充分な匿名化が行われていなかった。

そこで本発明は、個人の情報を充分に匿名化し、匿名化したデータを前記個人と他の事業者との間の情報配信に利用可能にする技術を提供する。

上記課題を解決するため、本発明の情報処理装置は、
個人と対応付けられた複数の項目を含む対象データを受信するデータ受付部と、
前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成する抽象化部と、
前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求める価値判定部と、
前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
前記検定の条件を満たした抽象化候補データの価値に基づいて選択した抽象化候補データを匿名情報として出力する出力部と、
前記匿名情報の特定の値に対する配信情報を受信する配信情報受信部と、
前記特定の値と対応する個人に対して前記配信情報を配信する配信部と、
を備える。

また、上記課題を解決するため、本発明の情報処理方法は、
個人と対応付けられた複数の項目を含む対象データを受信するステップと、
前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成するステップと、
前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求めるステップと、
前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
前記検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択するステップと
前記抽象化データの特定の値に対する配信情報を受信するステップと、
前記特定の値と対応する個人に対して前記配信情報を配信するステップと、
をコンピュータが実行する。

また、本発明は、上記方法をコンピュータに実行させるためのプログラムであっても良い。更に、前記プログラムは、コンピュータが読み取り可能な記録媒体に記録されていても良い。

ここで、コンピュータが読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータから読み取ることができる記録媒体をいう。このような記録媒体の内コンピュータから取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、CD-ROM、CD-R/W、DVD、DAT、８mmテープ、メモリカード等がある。

また、コンピュータに固定された記録媒体としてハードディスクやＲＯＭ（リードオンリーメモリ）等がある。

本発明は、個人の情報を充分に匿名化し、匿名化したデータを前記個人と他の事業者との間の情報配信に利用可能にする技術を提供できる。

図１は匿名化処理の説明図である。 図２は情報処理システムの機能ブロック図である。 図３は病院情報サーバのハードウェア構成を示す図である。 図４は医療情報ＤＢの一例を示す図である。 図５は匿名情報ＤＢの一例を示す図である。 図６は匿名価値評価システムの概略構成図である。 図７は検索情報蓄積ＤＢの一例を示す図である。 図８は対象データにおける年齢の項目の一部の例を示す図である。 図９は年齢について検索情報蓄積ＤＢから取得する価値データの一例を示す図である。 図１０は年齢の項目の価値を示す図である。 図１１は年齢の項目の価値を示す図である。 図１２は抽象化候補における年齢の項目の一部の例を示す図である。 図１３は年代について取得する各ワードの価値データの一例を示す図である。 図１４は年代の項目の価値を示す図である。 図１５は年代の項目の価値を示す図である。 図１６は配信情報管理システムの概略構成図である。 図１７は配信情報管理システムが、他の事業者の端末から受信する要求情報の一例を示す図である。 図１８はモラルＤＢの一例を示す図である。 図１９は情報処理システムによる匿名化処理の説明図である。 図２０は候補パターンの説明図である。 図２１は情報処理システムが患者に対して配信情報を出力する処理の説明図である。 図２２は変形例に係る匿名化処理の説明図である。 図２３は情報処理システムが患者に対して配信情報を出力する処理の説明図である。 図２４は実施形態２に係る情報処理システムの機能ブロック図である。 図２５は実施形態２に係る情報処理システムのハードウェア構成を示す図である。 図２６はユーザ情報ＤＢの一例を示す図である。 図２７は情報処理システムにより通知データを匿名化（多様化）して配信する処理の説明図である。

以下、図面を参照して本発明を実施するための形態について説明する。以下の実施の形態の構成は例示であり、本発明は実施の形態の構成に限定されない。

〈実施形態１〉
図１は匿名化処理の説明図、図２は情報処理システムの機能ブロック図である。

図１（Ａ）は、姓、年齢、性別の項目を含む会員情報から姓の項目を削除した例を示す。図１（Ａ）に示すように年齢が記載されている会員情報に１６歳の女性が一人だけであると、１６歳の女性が、この会員であることが分かった時点で、その人を特定できる。即ち、１６歳・女性という属性を持つ人が一人だけであると、他の情報と照らし合わせることで、個人を特定できる可能性がある。

図１（Ｂ）では、会員リストの年齢の記載を抽象化し、０代（１０歳未満）、１０代、２０代のように年代別とした。しかし、この場合でも１０代女性は一人だけであり、図１（Ａ）と同様に個人が特定できてしまい匿名化としては不十分である。

そこで、図１（Ｃ）では、更に抽象化し、１０代以下（１９歳以下）と２０代のように年代の区切りを変更した。図１（Ｃ）の場合、１０代以下の女性が２人であり、［１０代以下］及び［女性］という属性が単一では無くなる。このため前述のように１６歳の女性が、この会員であることが分かったとしても、どちらが当該１６歳女性のデータであるかは特定できない。このように同じ属性を持つ人がｋ人以上いる状態を、「k-匿名性」を満たすと称し、そのようにデータを加工することを「k-匿名化」と称する。

図２に示すように情報処理システム１００は、病院情報システム（ＨＩＳ：Hospital Information System）１０や、匿名価値評価システム２０、配信情報管理システム３０を
有する。病院情報システム１０は、病院や健診センター等の医療機関に設けられ、治療や診断を受ける者（以下単に患者又はユーザと称す）の医療情報（個人情報）を管理するシステムである。匿名価値評価システム２０は、検索エンジン４０で検索に用いられたキーワードの統計情報に基づいて抽象化した語の価値を求め、この抽象化した語で構成される匿名情報の価値を算出するシステムである。配信情報管理システム３０は、匿名情報を他の事業者（配信情報の発信者）へ提供及び当該事業者から匿名情報に対する配信情報を受信し、各患者に配信するシステムである。

本実施形態１の情報処理システム１００は、病院情報システム１０が、医療情報を抽象化して複数の抽象化候補データ（以下単に抽象化候補とも称す）とした場合の価値を匿名価値評価システム２０から取得し、この抽象化後の価値に基づいて選択した抽象化候補を匿名情報とし、配信情報管理システム３０を介して他の事業者に提供する。そして、情報処理システム１００は、他の事業者の端末５０から当該匿名情報に対する広告やクーポン等の配信情報を受信して、この配信情報を当該匿名情報に対応する各個人宛てに出力する。

このように本実施形態１の情報処理システム１００は、医療情報を匿名情報として他の事業者へ提供し、当該匿名情報に基づき特定の属性情報を持つ個人、例えば血圧が高い、介護が必要等といった属性情報を持つ個人をターゲットとした配信情報を他の事業者から受信し、この配信情報と対応する属性情報を持つ個人へ仲介することにより、各個人の匿名性を保ったまま配信情報を配信できる。即ち、情報処理システム１００は、医療情報（個人情報）を他の事業者が広告等の配信に利用できるようにしている。

病院情報システム１０は、患者の来院時に受け付けを行う受付機１０１や、患者に係る医療情報を入出力する入出力端末１０２、入出力端末１０２から入力された医療情報を管理する病院情報サーバ１０３を有する。

受付機１０１は、患者の診察券を読み取る読取装置や、受付番号を記載した受付レシートを印刷出力するプリンタを備える情報処理装置である。

入出力端末１０２は、パーソナルコンピュータ等の情報処理装置であり、患者のカルテ（診療記録）を病院情報サーバ１０３から読み出して表示出力する表示部や、医師の診断結果や検査結果、薬の処方、検査のオーダ等の医療情報を入力する入力部を有している。

また、入出力端末１０２は、会計の処理を行う端末や、調剤の受け付けを行う端末として用いられても良い。

病院情報サーバ１０３は、医療情報ＤＢ（データベース）１９、匿名情報ＤＢ１８、データ更新部１５、データ受付部１６、出力制御部１７等の機能部を備えている。

データ受付部１６は、個人と対応付けられた複数の項目を含む対象データを医療情報ＤＢ１９から読み出し（取得し）、匿名情報ＤＢ１８に記憶させる。

データ更新部１５は、匿名情報ＤＢ１８に記憶させた対象データ（個人情報）の各項目の値を後述の抽象化候補に基づいて抽象化した値に更新することにより、対象データを匿名情報とする。

出力制御部１７は、配信情報管理システム３０から受信した配信情報を患者に対して出力させる。ここで、配信情報の出力とは、表示装置による表示出力や、プリンタによる印刷出力、他の装置への送信、記憶媒体への書き込み等である。例えば、出力制御部１７は、配信情報を受付機１０１に送信し、受付機１０１のプリンタによって受付レシートに配信情報を印刷させる。本実施形態において出力制御部１７は、配信情報を患者（個人）へ配信する配信部の一形態である。

これに限らず、患者に対する出力は、受付機１０１のコントロールパネル（不図示）への表示出力や、会計時のレシートや予約票への印刷出力、会計を行う端末（不図示）のディスプレイへの表示出力、当該患者のメールアドレス宛てに電子メールを送信することであっても良い。また、患者への出力とは、当該患者が配信情報を受け取ることができれば、当該患者のみに限定して出力することに限らず、患者を含む不特定の人に対して出力することでも良い。

例えば、当該患者が会計を待っている間に待合室に設置したデジタルサイネージに広告を表示出力することや、当該患者が薬局で調剤を依頼した際に、薬局内に広告を音声出力することでも良い。なお、配信情報は、上記出力方法によって出力可能な形式のデータであれば良く、例えば、テキスト、画像、動画、音データ等であっても良い。

医療情報ＤＢ１９は、入出力端末１０２によって入力された各患者の医療情報を記憶する。この医療情報は、例えば患者の診察時に入出力端末１０２によって読み出され、電子カルテとして利用される。また、医療情報ＤＢ１９の医療情報は、データ受付部１６によって匿名化の対象データとして読み出される。

匿名情報ＤＢ１８は、個人情報（対象データ）が入力され、データ更新部１５により抽象化候補に基づいて対象データの各項目の値が、抽象化した値に書き換えられ、匿名情報として保持する。なお、匿名情報ＤＢ１８は、個人情報のうち、メールアドレスやＦＡＸ番号等の宛先情報を匿名情報と対応付けて保持しておき、出力制御部１７が、配信情報の配信先として読み出せるようにしても良い。

また、匿名価値評価システム２０は、抽象化部１１、検定部１３、選択部１４、価値データ取得部２１、価値判定部２２、ワードカテゴリ分析部２３、価値計算部２４、検索情報蓄積ＤＢ２５等の機能部を備えている。

抽象化部１１は、対象データを匿名化或いは多様化する際に、対象データ中の項目の値であるワード（語）を抽象化したワードに替えて抽象化候補を生成する。本実施形態においてワード（語）は、単語や句など、一まとまりの言葉であり、位置情報や電話番号等の数値、メールアドレスやＩＰアドレス等の識別情報、言葉と同様の意味を持つ記号等を含んでも良い。

検定部１３は、抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されない、即ち抽象化候補の一個人と対応する項目の値の組み合わせが、当該抽象化候補中で単一でないことを条件として検定する。例えば検定部１３は、抽象化候補がｋ−匿名性を満たしているかを検定する。

選択部１４は、前記検定の条件を満たした抽象化候補を匿名価値評価システム２０で算出した価値に基づいて抽象化候補を選択する。例えば、選択部１４は、ｋ−匿名性を満たした複数の抽象化候補から価値が高い順に所定数の抽象化候補を選択する。

価値データ取得部２１は、抽象化候補に含まれるワードの価値データを検索情報蓄積ＤＢから取得（受信）する。また、価値データ取得部２１は、検索情報蓄積ＤＢ２５に前記ワードの価値データが登録されていない場合に、他の装置例えば検索エンジン４０にリクエストし、取得した価値データを検索情報蓄積ＤＢ２５に登録する機能（データリクエスト）や、定期的に他の装置を巡回して最新の価値データを取得し、検索情報蓄積ＤＢ２５に登録されている価値データを更新する機能（データクローラ）を有する。

本実施形態では、この価値データとして検索エンジン４０から各ワードの統計情報を受信する。ここで、各ワードの統計情報は、例えばＳＥＭ（Search Engine Marketing）の
広告単価（クリック単価）や、クリック率、平均掲載順位、１日の表示回数、１日のクリック数等である。なお、価値の取得先は、検索エンジンに限らず、ウェブページやＳＮＳ等であっても良い。この場合、例えばウェブページやＳＮＳにおける各ワードの使用頻度を価値としても良い。

価値判定部２２は、抽象化候補に含まれるワードの価値に基づいて当該抽象化候補の価値を求め、病院情報サーバ１０３に通知する。

ワードカテゴリ分析部２３は、ウェブサイト等のデータを分析して、新規のワードや、当該ワードを抽象化したワード（カテゴリ）を求め、検索情報蓄積ＤＢに登録する。

価値計算部２４は、価値データ取得部２１で取得したワードの価値に基づき、ワードの価値の年平均や月平均、週平均など、ワードの価値の統計情報を求める。

検索情報蓄積ＤＢ２５は、価値データ取得部２１で取得したワードの価値や、ワードカテゴリ分析部２３で求めたワードやカテゴリの情報、価値計算部２４で求めた価値の統計情報などを記憶する。

また、配信情報管理システム３０は、匿名データ出力部３１、配信データ受付部（配信情報受信部）３２、モラルＤＢ３３を備えている。

匿名データ出力部３１は、病院情報サーバ１０３の匿名情報ＤＢ１８から匿名情報を読み出して他の事業者の端末５０へ送信する。ここで端末５０への送信は、各端末５０のアドレス宛てに電子メール等を送信するものでも良いし、匿名情報をウェブページとして提供するものでも良い。

例えば、他の事業者が要求する情報の条件（以下、要求条件とも称す）を端末５０から受信した場合に、匿名データ出力部３１が、この要求条件と適合し、且つモラルＤＢ３３のモラルに抵触しない匿名情報を匿名情報ＤＢ１８から読み出して電子メール等で送信する。

また、匿名データ出力部３１は、端末５０からの閲覧要求に対して、匿名情報が記載されたウェブページ、即ちＨＴＭＬ等で記述されたファイルをレスポンスとして返信するものでも良い。

配信データ受付部３２は、他の事業者の端末５０から前記匿名情報の特定の属性値に対する配信情報を受信し、この配信情報を病院情報サーバ１０３に送信する。

また、図２中、検索エンジン４０は、インターネット等のネットワーク上に存在する情報の検索機能を提供するサイト（コンピュータ）である。即ち、検索エンジン４０は、ユーザ端末から検索するキーワードを受信すると、このキーワードを含むウェブページのＵＲＬ等のリストを検索結果として提供し、ユーザ端末に表示させる。

また、検索エンジン４０は、この検索機能を利用し、検索結果にキーワードと連動した広告を表示させることや、キーワードに応じた広告料を支払ったスポンサーサイトへのリンクを表示させることも行う。この広告料は、例えば各キーワードの価値（各ワードの統計情報）を提示し、各キーワードに対する入札（広告オークション）によって決定する。このため、検索エンジン４０は、検索されたワード毎に、１日の検索回数（表示回数）、検索結果の広告がクリックされた回数（クリック数）、１クリック当たりの広告料（クリック単価）等をワードの統計情報として記憶する。

また、これらの情報に基づき、検索エンジン４０は、表示回数をクリック数で除したクリック率や、１日のクリック数にクリック単価を乗じた値（１日の費用）、広告の申し込み時（広告オークション時）に提示した費用に応じた広告の掲載順位等も求める。

検索エンジン４０は、匿名価値評価システム２０に対し、上記クリック数、表示回数、掲載順位、１日の費用、クリック率、クリック単価等の情報を提供するデータ出力部４１や、これらワードに関する情報を記憶する検索ワード蓄積ＤＢ４２を備える。

図３は病院情報サーバ１０３のハードウェア構成を示す図である。病院情報サーバ１０
３は、演算処理部１、通信制御部３、記憶装置４、入出力インタフェース５を有する所謂情報処理装置（コンピュータ）である。

演算処理部１は、ＣＰＵやメインメモリを有し、ＣＰＵが、メインメモリに実行可能に展開されたプログラムを実行することで、前述のデータ更新部１５、データ受付部１６、出力制御部１７の機能を提供する。

メインメモリは、主記憶装置ということもできる。メインメモリは、例えば、ＣＰＵが実行するプログラムや、通信制御部３を介して受信したデータ、記憶装置４から読み出したデータ、その他のデータ等を記憶する。

通信制御部３は、ネットワークを介して他の装置、例えば受付機１０１や入出力端末１０２と接続し、当該装置との通信を制御する。

入出力インタフェース５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc（登録商標））等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置４に格納させる。

記憶装置４は、外部記憶装置（補助記憶装置）ということもできる。記憶装置４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置４は、ドライブ
装置との間で、データを授受する。例えば、記憶装置４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置４は、プログラムやデータが演算処理部１により読み出されて、メインメモリに引き渡す。本実施形態では、記憶装置４が前述の医療情報ＤＢ１９や匿名情報ＤＢ１８を格納している。

なお、受付機１０１、入出力端末１０２についても基本的なハードウェア構成は、図３と同様であり、受付機１０１、入出力端末１０２は、演算処理部、通信制御部、記憶装置、入出力インタフェースを有する情報処理装置である。例えば、受付機１０１は、入出力インタフェースに診察券の読取装置が接続され、演算処理部が読取装置を制御して診察券から患者の識別情報（患者ＩＤ）を読み取り、通信制御部を介して病院情報サーバ１０３へ送信する。また、受付機１０１は、入出力インタフェースにプリンタが接続され、受付番号と配信情報を印刷したレシートを出力する。

入出力端末１０２は、演算処理部が通信制御部を介して病院情報サーバ１０３から患者の医療情報を読み出して表示装置に表示させると共に、医師がキーボードやマウスを操作して診察の結果を入力し、通信制御部を介して病院情報サーバ１０３へ送信して医療情報ＤＢ１９に記憶させる。

図４は医療情報ＤＢ１９の一例を示す図である。図４の医療情報ＤＢ１９は、医療情報として、患者毎に、患者ＩＤ、氏名、年齢、性別、メールアドレス、診療履歴の項目を夫々対応付けて記憶している。

患者ＩＤは、患者を一意に識別する情報であり、例えば診察券番号や保険証の番号などである。

メールアドレスは、患者の連絡先を示す情報であり、電話番号や住所などでも良い。

診療履歴は、過去の診療の内容を診療日と共に記録した履歴情報であり、図４では直近の３回分の診療内容を示している。なお、診療履歴は、全ての履歴が記録されたものでも良いし、一部の履歴(例えば所定期間の履歴)を抽出したものでも良い。また、診療の内容は、傷病の名称、傷病の部位、受診した科（内科・外科等）、検査結果、処方された薬の名称などを含んでも良い。

図５は匿名情報ＤＢ１８の一例を示す図であり、図５（Ａ）は対象データを書き込んだ直後の例を示す図、図５（Ｂ）は匿名化後の例を示す図である。図５（Ｂ）に示すように匿名情報ＤＢ１８では、匿名情報ＩＤや、年齢層、診療履歴を匿名情報とし、患者ＩＤと対応付けて記憶している。ここで、匿名情報ＩＤは、匿名化処理毎に各患者の匿名情報に割り当てる識別情報である。匿名情報ＩＤは、匿名化情報にのみ付与され、他の処理では使用されないため、匿名情報ＩＤが匿名情報の各レコードへ個別に付与されても他の情報と照合して個人が特定されることは無い。

図６は匿名価値評価システム２０の概略構成図である。匿名価値評価システム２０は、演算処理部２０１、通信制御部２０３、記憶装置２０４、入出力インタフェース２０５を有する所謂情報処理装置（コンピュータ）である。

演算処理部２０１は、ＣＰＵやメインメモリを有し、ＣＰＵが、メインメモリに実行可能に展開されたプログラムを実行することで、前述の抽象化部１１、検定部１３、選択部１４、価値データ取得部２１、価値判定部２２、ワードカテゴリ分析部２３、価値計算部２４の機能を提供する。

メインメモリは、主記憶装置ということもできる。メインメモリは、例えば、ＣＰＵが実行するプログラムや、通信制御部２０３を介して受信したデータ、記憶装置２０４から読み出したデータ、その他のデータ等を記憶する。

通信制御部２０３は、ネットワークを介して他の装置、例えば病院情報サーバ１０３と接続し、当該装置との通信を制御する。

入出力インタフェース２０５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。

記憶装置２０４は、外部記憶装置（補助記憶装置）ということもできる。記憶装置２０４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置２０４
は、ドライブ装置との間で、データを授受する。例えば、記憶装置２０４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置４は、プログラムを読み出し、メモリに引き渡す。本実施形態では、記憶装置２０４が前述の検索情報蓄積ＤＢ２５を格納している。

図７は、検索情報蓄積ＤＢ２５の一例を示す図である。検索情報蓄積ＤＢ２５は、検索エンジン４０から取得したワードとその価格（単価）を対応付けて価値データとして記憶している。
次に図８−図１５を用いて本実施形態におけるデータの価値について説明する。図８は対象データにおける年齢の項目の一部の例を示す図である。図８に示すように対象データは、年齢ｓｉ毎に人数ｃｉを有している。例えば、１８歳（ｓ１）の人数（ｃ１）が３０人、１９歳（ｓ２）の人数（ｃ２）が１０人である。

図９は、年齢ｓｉについて検索情報蓄積ＤＢ２５から取得する価値データの一例を示す
。図９の価値データは、年齢ｓｉ毎にＳＥＭ単価ｅｉを有している。ここでＳＥＭ単価ｅｉは、検索エンジン４０が、広告オークション等、ＳＥＭの為に提示している価格である。

この年齢ｓｉの価値は、ＳＥＭ単価ｅｉに人数ｃｉを乗じた値であり、式１で示される。

ｓｉ＝ｃｉ×ｅｉ ・・・（式１）
そして、図１０に示すように年齢の項目Ｓ（ｅ）の価値は、各年齢ｓｉの総計であり、式２で示される。なお、図１０においてｎは５である。従って、年齢の項目Ｓ（ｅ）の価値は、図１１に示すように、２４４６円である。また、対象データにおける全ての項目の価値を合計したものが対象データの価値である。

一方、図１２は抽象化候補における年齢の項目の一部の例を示す図である。図１２に示すように抽象化候補は、年代ｋｉ毎に人数ｃｉを有している。例えば、１０代（ｋ１）の人数（ｃ１）が４０人、２０代（ｋ２）の人数（ｃ２）が２２人である。

図１３は、年代ｋｉについて取得する各ワードの価値データの一例を示す。図１３の価値データは、年代ｋｉ毎にＳＥＭ単価ｅｉを有している。

この年代ｋｉの価値は、ＳＥＭ単価ｅｉに人数ｃｉを乗じた値であり、式３で示される。

ｋｉ＝ｃｉ×ｅｉ ・・・（式３）
そして、図１４に示すように年代の項目Ｓ（ｋ）の価値は、各年代ｋｉの総計であり、式４で示される。なお、図１４においてｎは２である。従って、年代の項目Ｓ（ｋ）の価値は、図１５に示すように、２１３４円である。即ち、年齢の項目を年代に抽象化したことにより、価値が３１２円減損したことになる。また、抽象化候補における全ての項目の価値を合計したものが抽象化候補の価値である。

そして、ステップＳ１５０で求める抽象化候補の価値として、例えば式５に示すように、抽象化候補の価値を抽象化候補の価値と対象データの価値の合計で除した減損率Ｍ（ｋ）を求める。

Ｍ（ｋ）＝Ｓ（ｋ）／（Ｓ（ｋ）＋Ｓ（ｅ）） ・・・（式５）
図１６は配信情報管理システム３０の概略構成図である。配信情報管理システム３０は、演算処理部３０１、通信制御部３０３、記憶装置３０４、入出力インタフェース３０５を有する所謂情報処理装置（コンピュータ）である。

演算処理部３０１は、ＣＰＵやメインメモリを有し、ＣＰＵが、メインメモリに実行可能に展開されたプログラムを実行することで、前述の匿名データ出力部３１及び配信データ受付部３２の機能を提供する。

メインメモリは、主記憶装置ということもできる。メインメモリは、例えば、ＣＰＵが実行するプログラムや、通信制御部３０３を介して受信したデータ、記憶装置２０４から読み出したデータ、その他のデータ等を記憶する。

通信制御部３０３は、ネットワークを介して他の装置、例えば病院情報サーバ１０３や他の事業者の端末５０と接続し、当該装置との通信を制御する。

入出力インタフェース３０５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。

記憶装置３０４は、外部記憶装置（補助記憶装置）ということもできる。記憶装置３０４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置３０４
は、ドライブ装置との間で、データを授受する。例えば、記憶装置３０４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置３０４は、前述のモラルＤＢ３３を格納している。

図１７は、配信情報管理システム３０が、他の事業者の端末５０から受信する要求情報の一例を示す図である。図１７の要求情報は、事業者名、アドレス、条件、単価を夫々対応付けて記憶している。

事業者名は、事業者を識別する情報であり、名称に限らずＩＤ等であっても良い。

アドレスは、匿名情報の送信先を示す情報であり、メールアドレスの他、ＩＰアドレス、ＦＡＸ番号など、送信先を特定できる情報であれば良い。

条件は、要求する匿名情報の条件であり、図１７の例では傷病名やその部位等を示すワードである。

単価は、配信情報を患者へ配信した場合に事業者から情報処理システム１００側に支払われる１件あたりの価格(対価)である。

配信情報の概要は、配信情報の対象や種別などを示す情報である。図１７の例では、タクシーや血圧計、食事指導等を対象とし、クーポンや広告、情報提供等の種別を示す。

図１８は、モラルＤＢの一例を示す図である。例えば、高血圧の患者に対して酒や煙草の広告を配信するのは望ましくない。このようにモラルに反した配信が行われないように、モラルＤＢ３３は、モラルに反する配信情報の対象と属性値とを対応付けて記憶している。

図１８の例では、高血圧と酒・煙草、喘息と煙草、入院と旅行などのように、不適切な対象と属性値の組み合わせを記憶している。

上記のように本実施形態１では、病院情報システム１０、匿名価値評価システム２０、配信情報管理システム３０を別の情報処理装置で構成したが、これら病院情報システム１０、匿名価値評価システム２０、配信情報管理システム３０を一つの情報処理装置で構成しても良い。

図１９は、情報処理システム１００による匿名化処理の説明図である。病院情報サーバ１０３は、夜間のバッチ処理など、所定のタイミングでプログラムを起動し、図１９の処理を開始する。

病院情報サーバ１０３は、先ず病院医療情報ＤＢ１９から対象データを読み出す（ステップＳ１０）。即ち、ＣＰＵが記憶装置４から対象データを受信する。なお、病院情報サーバ１０３は、対象データを内部の記憶装置４から読み出す構成に限らず、外部のファイルサーバ等から対象データを受信する構成であっても良い。対象データは、１日、１カ月、１年など、所定期間内の医療情報を抽出したものでも良いし、内科、外科、循環器科など、所定の属性値を持つデータを抽出したものでも良い。

次に病院情報サーバ１０３は、読み出した対象データの表記の揺れや各項目のデータ長、順序などが所定形式となるよう正規化して、匿名情報ＤＢ１８に登録し、匿名価値評価システム２０に通知する（ステップＳ２０）。

匿名価値評価システム２０は、匿名情報ＤＢ１８から対象データを読み出し（ステップＳ３０）、対象データ中の各ワードについて、価値データが検索情報蓄積ＤＢ２５に存在するか否かを判定する（ステップＳ４０）。匿名価値評価システム２０は、全てのワードの価値データが検索情報蓄積ＤＢ２５に存在する場合にはステップＳ６０へ移行し（ステップＳ４０，Ｙｅｓ）、足りない価値データがある場合（ステップＳ４０，Ｎｏ）、当該ワードの価値データを外部の装置、本例では検索エンジン４０から取得する（ステップＳ５０）。なお、検索エンジンから取得した価値データ以外、即ち検索情報蓄積ＤＢ２５に存在したワードの価値情報は、検索情報蓄積ＤＢ２５から取得する（ステップＳ６０）。

また、匿名価値評価システム２０は、匿名性を満たすため対象データの各項目を抽象化したワード（カテゴリ）に置き換えて抽象化候補を作成する（ステップＳ７０）。なお、抽象化可能な項目が複数存在する場合には、各項目を抽象化した場合と抽象化しない場合の全てのパターンを作成する。例えば対象データに三つの項目Ａ，Ｂ，Ｃが含まれ、全項目について抽象化が可能で、抽象化した項目をＡ´，Ｂ´，Ｃ´とした場合、図２０に示すように、項目Ａだけを抽象化した場合Ａ´，Ｂ，Ｃ、項目Ａ，Ｂを抽象化した場合Ａ´，Ｂ´，Ｃなど、七つの候補パターンが作成できる。

次に匿名価値評価システム２０は、抽象化候補に含まれる各ワードの価値データに基づいて各パターンの抽象化候補の価値を算出し（ステップＳ８０）、この抽象化候補の価値に基づいて検定の順番を決定する（ステップＳ９０）。例えばこの価値が高い順（降順）に検定の順番を決定する。なお、全ての候補パターンについて検定を行うことが望ましいが、この抽象化候補の価値に基づき、価値の低過ぎる抽象化候補を順番から外しても良い。例えば、価値の高い順番で、所定番目以降或いは半分未満など所定割合未満の抽象化候補を外しても良い。また、抽象化候補の価値が対象データの価値に対して所定割合未満となった抽象化候補を外しても良い。これにより検定数が少なくなり、処理時間の短縮化が図れる。

この検定の順番に従い、匿名価値評価システム２０は、抽象化候補の匿名性を検定する（ステップＳ１００）。例えば、ｋ−匿名性を検定するため、一個人と対応付けられた異なる項目の値の組み合わせが当該抽象化候補中に存在する数（存在数）を求める。或いは、ｌ多様性を検定するため、一個人と対応付けられた同じ項目の値の組み合わせが当該抽象化候補中に存在する数（存在数）を求める。そして、この存在数のうち最小のものを最低出現数（ｋ値）として求め（ステップＳ１１０）、この最低出現数が１を超えているか否かを判定する（ステップＳ１２０）。即ち、ここでｋ値が１を超えていればｋ−匿名性を満たし、１であればｋ−匿名性を満たさない。同様にｌ値が１を超えていればｌ−多様性を満たし、１であればｌ−多様性を満たさない。

最低出現数（ｋ値／ｌ値）が１を超えていない場合（ステップＳ１２０，Ｎｏ）、匿名価値評価システム２０は、抽象化候補のうち、少なくとも一つの項目の値を更に抽象化する、即ち抽象化したワードに置き換え（ステップＳ１３０）、ステップＳ１００に戻る。例えば、「足骨折、１５歳、男」という属性値を持つ患者が一人であった場合、「足傷病、１５歳、男」のように抽象化する。

一方、最低出現数（ｋ値／ｌ値）が１を超えている場合（ステップＳ１２０，Ｙｅｓ）、匿名価値評価システム２０は、当該抽象化候補の価値と元の対象データの価値との差分
を求め（ステップＳ１４０）、この差分や、この差分に基づく値、例えば対象データの価値に対する差分の割合、対象データの価値に対する抽象化候補の価値の割合を当該抽象化候補の価値として決定する（ステップＳ１５０）。

また、匿名価値評価システム２０は、検定していない候補パターンがあるか否かを判定し（ステップＳ１６０）、検定していない候補パターンがあれば（ステップＳ１６０，Ｙｅｓ）、ステップＳ９０で決定した順番に従って、次の順番の抽象化候補を特定し（ステップＳ１７０）、ステップＳ１００に戻って次の抽象化候補について検定を行う。

このように各パターンの抽象化候補について検定を繰り返し、次の候補パターンが無くなった場合（ステップＳ１６０，Ｎｏ）、匿名価値評価システム２０は、ステップＳ１５０で求各抽象化候補の価値に基づいて、採用すべき抽象化候補を選択し、病院情報サーバ１０３に通知する（ステップＳ１８０）。

抽象化候補の選択は、例えば、全候補パターンの中で価値の高い順に所定数の抽象化候補を選択する。即ち、匿名化情報は、１パターンに限らず、複数パターン作成しても良い。

また、匿名価値評価システム２０は、配信情報管理システム３０から、要求情報を取得し、要求情報と合致する候補パターンの中で価値の高い順に所定数の抽象化候補を選択しても良い。更に、匿名価値評価システム２０は、全候補パターンの中から価値の高い順に複数の抽象化候補を出力し、この出力された抽象化候補の中から操作者が適切だと思う抽象化候補を指定し、この指定された抽象化候補を選択しても良い。

なお、匿名情報ＤＢ１８の更新は、選択された抽象化候補で対象データを上書きして匿名化データとしても良いし、対象データ中のワードを選択された抽象化候補と同じように抽象化することで匿名化データとしても良い。

病院情報サーバ１０３は、選択された抽象化候補に基づいて匿名情報ＤＢ１８の対象データを更新し、配信情報管理システム３０に通知する（ステップＳ１９０）。

配信情報管理システム３０は、匿名情報ＤＢ１８から匿名情報を読み出し、当該匿名情報と適合する要求情報を選択し、当該要求情報の送信先アドレスへ適合した匿名情報を送信する（ステップＳ２００）。ここで匿名情報と要求情報との適合は、足の傷病、高血圧など匿名情報が有する属性値と要求情報の条件に含まれるワードが一致した場合に適合としても良い。また、匿名情報が有する属性値と要求情報の条件に含まれるワードが完全に一致した場合に限らず、部分的に一致した場合や、シソーラス等を参照して、匿名情報の属性値と要求情報のワードが、上位/下位関係、部分/全体関係、同義関係、類義関係などの所定の関係にある語であった場合に適合と判定しても良い。

図２１は、情報処理システム１００が患者（ユーザ）に対して配信情報を出力する処理の説明図である。

配信情報管理システム３０は、他の事業者の端末５０から前記匿名情報の特定の属性値に対する配信情報を受信する（ステップＳ２１０）。ここで配信情報は、配信対象を示す属性値と、患者に対して出力する広告やクーポン等の配信内容とを有している。例えば、属性値が「足傷病」、配信内容が「タクシークーポン」である配信情報を端末５０が送信し、この配信情報を配信情報管理システム３０が受信する。

次に配信情報管理システム３０は、受信した配信情報、即ち配信対象の属性値と配信内
容を病院情報サーバ１０３に送信する（ステップＳ２２０）。

病院情報サーバ１０３の出力制御部は、匿名情報ＤＢを参照し、受信した配信情報と同じ属性値を持つ患者の患者ＩＤ、本例では診察券番号を特定し、モラルＤＢ３３を参照して当該患者の属性値と配信情報の組み合わせがモラルＤＢに該当しないこと（即ち、モラルに反しないこと）を確認し、当該患者の診察券番号と配信内容とを対応付けて記憶装置４に記憶する（ステップＳ２３０）。なお、当該患者の属性値と配信情報の組み合わせがモラルＤＢに該当する場合には、当該患者ＩＤとの対応付けは行わない。

病院情報サーバ１０３は、各患者の来院時等の所定のタイミングで配信情報を読み出して当該患者に対して出力する（ステップＳ２４０）。

例えば、患者が診察券を受付機１０１に読み取らせて受付を行った場合に、受付機１０１が読み取った診察券番号を病院情報サーバ１０３に送信し、病院情報サーバ１０３の出力制御部１７は、受信した診察券番号と対応する配信情報を記憶装置４から読み出して受付機１０１へ送信し、当該患者の受付シートに配信情報を印刷する。

また、患者に対する出力は、これに限らず、会計用の入出力端末で診察券番号を読み取り会計処理を行う際に、入出力端末から病院情報サーバ１０３へ診察券番号を送信し、病院情報サーバ１０３の出力制御部１７が、受信した診察券番号と対応する配信情報を記憶装置４から読み出して入出力端末へ返信し、入出力端末の表示装置に会計金額と共に配信情報を表示して当該患者に提示しても良い。

また、患者に対する出力は、会計用の入出力端末で診察券番号を読み取り会計処理を行う際に、会計の待合室に設置したデジタルサイネージに配信情報を出力し、当該患者を含む不特定の人に対して配信情報を出力することでも良い。

以上のように本実施形態１の情報処理システム１００は、医療情報を利用価値の高い状態で匿名化して匿名情報を配信情報の発信者へ提供し、この匿名情報に対する配信情報を匿名情報と対応する各個人に対して出力する。これにより情報処理システム１００は、医療情報を充分に匿名化し、匿名化した情報をレコメンド等の発信者が利用できるようにする。

また、本実施形態１の情報処理システム１００は、検索エンジン４０で検索に用いられたキーワードの統計情報に基づいて匿名情報の価値を算出するので、操作者による判断を必要とせずに充分な匿名化を行うことができ、匿名情報の提供と配信情報の仲介を機械的に実行できる。

〈変形例〉
上記実施形態１では、対象データを一括して処理した例を示したが、これに限らず対象データを個別に処理して配信する構成としても良い。図２２は、この変形例に係る匿名化処理の説明図である。なお、本変形例は、前述の実施形態１と比べ、図２２に示す匿名化処理の流れが異なり、その他の構成は同じである。例えば情報処理システム１００のハードウェア構成などは同じであり再度の説明は省略する。

患者が受付機１０１に診察券を読み取らせると、受付機１０１は読み取った診察券番号を病院情報サーバ１０３へ送信し、病院情報サーバ１０３は、この診察券番号と対応する患者（以下、対象患者とも称す）を含む医療情報を対象情報として医療情報ＤＢ１９から読み出す（ステップＳ１０）。

次に病院情報サーバ１０３は、読み出した対象データの表記の揺れや各項目のデータ長、順序などが所定形式となるよう正規化して、メモリに格納すると共に匿名価値評価システム２０に通知する（ステップＳ２５）。

匿名価値評価システム２０は、対象データを受信し（ステップＳ３０）、対象データ中の各ワードについて、価値データが検索情報蓄積ＤＢ２５に存在するか否かを判定する（ステップＳ４０）。病院情報サーバ１０３は、全てのワードの価値データが検索情報蓄積ＤＢ２５に存在する場合にはステップＳ６０へ移行し（ステップＳ４０，Ｙｅｓ）、足りない価値データがある場合（ステップＳ４０，Ｎｏ）、当該ワードの価値データを外部の装置、本例では検索エンジン４０から取得する（ステップＳ５０）。なお、検索エンジン４０から取得した価値データ以外、即ち検索情報蓄積ＤＢ２５に存在したワードの価値情報は、検索情報蓄積ＤＢ２５から取得する（ステップＳ６０）。

また、匿名価値評価システム２０は、対象患者のデータの匿名性を満たすように、対象データの各項目を抽象化したワード（カテゴリ）に置き換えて抽象化候補を作成する（ステップＳ７０）。なお、抽象化可能な項目が複数存在する場合には、各項目を抽象化した場合と抽象化しない場合の全てのパターンを作成する。

次に匿名価値評価システム２０は、抽象化候補に含まれる各ワードの価値データに基づいて各パターンの抽象化候補の価値を算出し（ステップＳ８０）、この抽象化候補の価値に基づいて検定を行う抽象化候補を決定する（ステップＳ９５）。抽象化候補の決定は、例えば、全候補パターンの中で価値の高い順に所定数の抽象化候補に決定する。また、匿名価値評価システム２０は、全候補パターンの中から価値の高い順に複数の抽象化候補を出力し、この出力された抽象化候補の中から操作者が適切だと思う抽象化候補を指定し、この指定された抽象化候補に決定しても良い。

これらの抽象化候補について、匿名価値評価システム２０は、抽象化候補の匿名性を検定する（ステップＳ１００）。例えば、ｋ−匿名性を検定するため、一個人と対応付けられた異なる項目の値の組み合わせが当該抽象化候補中に存在する数（存在数）を求める。或いは、ｌ多様性を検定するため、一個人と対応付けられた同じ項目の値の組み合わせが当該抽象化候補中に存在する数（存在数）を求める。そして、この存在数のうち最小のものを最低出現数（ｋ値／ｌ値）として求め（ステップＳ１１０）、この最低出現数が１を超えているか否かを判定する（ステップＳ１２０）。

最低出現数（ｋ値／ｌ値）が１を超えていない場合（ステップＳ１２０，Ｎｏ）、匿名価値評価システム２０は、抽象化候補のうち、少なくとも一つの項目の値を更に抽象化する、即ち抽象化したワードに置き換え（ステップＳ１３０）、ステップＳ１００に戻る。

一方、最低出現数（ｋ値／ｌ値）が１を超えている場合（ステップＳ１２０，Ｙｅｓ）、匿名価値評価システム２０は、当該抽象化候補を選択し、病院情報サーバ１０３に送信する（ステップＳ１４５）。

病院情報サーバ１０３は、選択された抽象化候補に基づいて匿名情報ＤＢ１８の対象データを更新し（ステップＳ１５５）、対象患者の匿名情報に固有の匿名情報ＩＤを付加する（ステップＳ１６５）。即ち、この匿名情報ＩＤが当該患者の診察券番号と対応付けられて匿名情報ＤＢ１８に記憶され、匿名情報ＤＢ１８を参照することで匿名情報ＩＤから対象患者を特定できるようにしている。

そして、病院情報サーバ１０３は、匿名情報ＩＤを付加した対象患者の匿名情報を配信情報管理システム３０に送信する（ステップＳ１７５）。なお、匿名情報には、匿名情報
ＩＤや匿名化した診療履歴等が含まれ、診察券番号は含まない。

配信情報管理システム３０は、病院情報サーバ１０３から受信した匿名情報と適合する要求情報を選択し、当該要求情報の送信先アドレスへ対象患者の匿名情報を送信する（ステップＳ１８５）。

図２３は、情報処理システム１００が患者（ユーザ）に対して配信情報を出力する処理の説明図である。

配信情報管理システム３０は、他の事業者の端末５０から前記匿名情報の特定の匿名情報ＩＤ（属性値）に対する配信情報を受信する（ステップＳ２１０）。ここで配信情報は、配信対象を示す匿名情報ＩＤ（属性値）と、患者に対して出力する広告やクーポン等の配信内容とを有している。例えば、匿名情報ＩＤ（属性値）が「９９９」、配信内容が「タクシークーポン」である配信情報を端末５０が送信し、この配信情報を配信情報管理システム３０が受信する。

次に配信情報管理システム３０は、受信した配信情報、即ち配信対象の匿名情報ＩＤ（属性値）と配信内容を病院情報サーバ１０３に送信する（ステップＳ２２０）。

病院情報サーバ１０３の出力制御部１７は、匿名情報ＤＢを参照し、受信した配信情報の匿名情報ＩＤと対応する属性値を持つ患者の診察券番号を特定する（ステップＳ２３５）。

病院情報サーバ１０３は、対象患者の受付レシートに、診察券番号と対応付けられた配信情報を印刷することで、当該患者に対して配信情報の出力を行う（ステップＳ２４５）。なお、患者に対する出力は、これに限らず、会計用の入出力端末で診察券番号を読み取り会計処理を行う際に、入出力端末から病院情報サーバ１０３へ診察券番号を送信し、病院情報サーバ１０３の出力制御部１７が、受信した診察券番号と対応する配信情報を記憶装置４から読み出して入出力端末へ返信し、入出力端末の表示装置に会計金額と共に配信情報を表示して当該患者に提示しても良い。また、会計用の入出力端末で診察券番号を読み取り会計処理を行う際に、会計の待合室に設置したデジタルサイネージに配信情報を出力し、当該患者を含む不特定の人に対して配信情報を出力しても良い。

以上のように本変形例の情報処理システム１００は、各患者の医療情報を随時匿名化して匿名情報を配信情報の発信者へ提供し、この匿名情報に対する配信情報を匿名情報と対応する前記患者に対して出力できる。

〈実施形態２〉
図２４は実施形態２に係る情報処理システム２００の機能ブロック図、図２５は情報処理システム２００のハードウェア構成図である。図２４に示すように情報処理システム２００は、不法侵入等を検出したことをスマート家電等のネットワークを介してユーザに通知するシステムである。

不法侵入等を検出した場合、速やかにユーザへ通知する必要があり、ユーザの携帯電話へ通知することが考えられるが、ユーザが携帯電話を手元に置いていなければ、通知に気付かない場合がある。

例えば、ユーザが運転中や入浴中、テレビの視聴中等に通知があった場合、ユーザは通知に気付かないこともある。このため、携帯電話に限らず、カーナビやテレビ等にも通知が行われると便利である。

しかし、カーナビやテレビ等へ通知を行う場合、これらカーナビやテレビのメーカ等（他の事業者）が運営するサーバ等のシステムを介して通知することになるが、機微情報でもある通知をこのような他の事業者へユーザの同意なしに提供することはできない。

このため例えば通知内容を暗号化することで匿名性を担保することが考えられるが、例え通知内容を暗号化しても不法侵入等の発生時に特定のユーザへ通知した場合、このユーザに通知が行われたこと自体は分かってしまうので、不法侵入等が事件として報道された場合に、このユーザが事件の関係者であることが特定されてしまう可能性があるので、充分に匿名性が確保されない。

そこで、本実施形態２の情報処理システム２００は、通知を行うユーザの多様性も含めて充分に匿名性を満たすように抽象化して通知を行う。

本実施形態２の情報処理システム２００は、ユーザ情報ＤＢ２１９、抽象化部２１１、検定部２１３、選択部２１４、暗号化部２１５、データ受付部２１６、出力制御部２１７価値データ取得部２２１、価値判定部２２２、価値計算部２２４、検索情報蓄積ＤＢ２２５等の機能部を備えている。

データ受付部２１６は、セキュリティ会社のシステム７０から通知先のユーザの識別情報（匿名情報ＩＤ）を含む通報データを受信し、当該ユーザのユーザ情報をユーザ情報ＤＢ２１９からメモリ上へ読み出す。本実施形態においてデータ受付部２１６は、匿名情報の特定の値（匿名情報ＩＤ）に対する配信情報を受信する配信情報受信部も兼ねている。なお、本例では、ユーザを特定するための情報、例えばセキュリティ会社のシステム７０を利用する各ユーザについて匿名情報ＩＤを予め割り当て、この匿名情報ＩＤをユーザの識別情報としてセキュリティ会社に通知しておく。

抽象化部２１１は、対象データを多様化する際に、対象データ中の項目の値であるワード（語）を抽象化したワードに替えて抽象化候補を生成する。本実施形態においてワード（語）は、単語や句など、一まとまりの言葉であり、位置情報や電話番号等の数値、メールアドレスやＩＰアドレス等の識別情報、言葉と同様の意味を持つ記号等を含んでも良い。

検定部２１３は、抽象化候補の一個人と対応する項目の値の組み合わせが、当該抽象化候補中で単一でないことを条件として検定する。例えば検定部２１３は、抽象化候補がｌ−多様性を満たしているかを検定する。

選択部２１４は、前記検定の条件を満たした抽象化候補を匿名価値評価システム２０で算出した価値に基づいて抽象化候補を選択する。例えば、選択部２１４は、ｌ−多様性を満たした複数の抽象化候補から価値が高い順に所定数の抽象化候補を選択する。

暗号化部２１５は、ユーザへ通知する通知データを暗号化する。例えば、暗号化部２１５は、対象ユーザの秘密鍵で暗号化することで、対象ユーザの端末だけで通知内容を確認できるようにしても良い。

出力制御部２１７は、匿名化情報をユーザ情報の配信先に基づいて他の事業者のシステム６０へ送信する。なお、本実施形態では、匿名化した通知データ（配信情報）を他の事業者のサーバ６０を介してユーザ端末８０へ配信する構成であるため、出力制御部１７は、匿名情報を出力する出力部と、配信情報をユーザ（個人）へ配信する配信部とを兼ねる。

ユーザ情報ＤＢ２１９は、通知を行う各ユーザの情報（以下ユーザ情報とも称す）を記憶する。

価値データ取得部２２１は、抽象化部２１１で生成した抽象化候補に含まれるワードの価値データを検索情報蓄積ＤＢから取得（受信）する。また、価値データ取得部２２１は、検索情報蓄積ＤＢ２２５に前記ワードの価値データが登録されていない場合に、他の装置例えば検索エンジン４０やＳＮＳのサーバにリクエストし、取得した価値データを検索情報蓄積ＤＢ２２５に登録する機能（データリクエスト）や、定期的に他の装置を巡回して最新の価値データを取得し、検索情報蓄積ＤＢ２２５に登録されている価値データを更新する機能を有する。

価値判定部２２２は、抽象化候補に含まれるワードの価値に基づいて当該抽象化候補の価値を求める。
検索情報蓄積ＤＢ２２５は、価値データ取得部２１１で取得したワードの価値などを記憶する。本実施形態において、ワードの価値は、抽象化を行う際の優先度を示す値（重み）であっても良い。例えば、操作者が各ワードについて予め定義した複数段階の重みであっても良い。

また、セキュリティ会社のシステム７０は、各ユーザの家や車、店舗等に設けられた検出装置から異常を検出した旨の情報（通知データ）を受信した場合、この通知データと当該ユーザの識別情報とを情報処理システム２００へ送信する。

検出装置７１は、不法侵入等の異常を検出して、この異常を示す情報（通知内容）と異常を通知するユーザを特定する情報（例えばユーザＩＤ）を通知データとしてシステム７０に送信する。このユーザを特定する情報は、ユーザＩＤと対応付けられた検出装置７１の設置場所（自宅住所等）や検出装置７１のアドレス等であっても良い。なお、検出装置７１は、不法侵入の検出に限らず、車の衝撃を検出して事故と判定した場合にシステム７０へ通知するものや、子供やお年寄りが携帯して異常があった時にシステム７０へ通知するものであっても良い。

また、他の事業者のシステム６０は、情報処理システム２００から受信した通知データを各ユーザ端末８０へ中継する。ユーザ端末８０は、通知データを受信して出力する機能を有した装置であり、例えば携帯電話、テレビ、カーナビ、オーディオ等である。また、エアコンや冷蔵庫、電子レンジ等であってもネットワークを介して受信した情報を操作パネル等に表示する機能を有する所謂スマート家電をユーザ端末８０としても良い。

ユーザ端末８０は、例えばテレビであればテレビ番組を受信して表示させる構成を主要機能部とし、カーナビであれば経路案内をする構成を主要機能とし、この主要機能部のほかに、通知データを復号化する復号化部と、通知データを出力させる出力制御部を備える。通知データの出力は、表示装置への表示出力の他、音声出力や印刷出力であっても良い。

図２５に示すように、情報処理システム２００は、演算処理部２９１、通信制御部２９３、記憶装置２９４、入出力インタフェース２９５を有する所謂情報処理装置（コンピュータ）である。

演算処理部２９１は、ＣＰＵやメインメモリを有し、ＣＰＵが、メインメモリに実行可能に展開されたプログラムを実行することで、前述の抽象化部２１１、検定部２１３、選択部２１４、暗号化部２１５、データ受付部２１６、出力制御部２１７、価値データ取得
部２２１、価値判定部２２２の機能を提供する。

メインメモリは、主記憶装置ということもできる。メインメモリは、例えば、ＣＰＵが実行するプログラムや、通信制御部２９３を介して受信したデータ、記憶装置２９４から読み出したデータ、その他のデータ等を記憶する。

通信制御部２９３は、ネットワークを介して他の装置、例えば検出装置７１や他の事業者のシステム６０と接続し、当該装置との通信を制御する。

入出力インタフェース２９５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置２９４に格納する。

記憶装置２９４は、外部記憶装置（補助記憶装置）ということもできる。記憶装置２９４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置２９４
は、ドライブ装置との間で、データを授受する。例えば、記憶装置２９４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置２０４は、プログラムやデータが演算処理部２９１により読み出されて、メインメモリに引き渡す。本実施形態２では、記憶装置２９４が前述のユーザ情報ＤＢ２１９や検索情報蓄積ＤＢ２２５を格納している。

なお、セキュリティ会社のシステム７０や、検出装置７１、他の事業者のシステム６０、ユーザ端末８０についても基本的なハードウェア構成は、図２５と同様であり、当該システム６０，７０や、検出装置７１、ユーザ端末８０は、演算処理部、通信制御部、記憶装置、入出力インタフェースを有する情報処理装置である。

例えば、検出装置７１は、入出力インタフェースに赤外線センサやガラス破壊センサ、開閉センサなど、異常を検出するためのセンサが接続され、センサが異常を検出した場合に演算処理部が通信制御部を介して通知データをシステム７０へ送信する。

また、ユーザ端末８０は、演算処理部が復号化部や出力制御部として機能し、通信制御部を介して受信した通知データを復号化し、入出力インタフェースを介して表示装置への表示出力、スピーカからの音声出力、プリンタによる印刷出力等を行わせる。

図２６はユーザ情報ＤＢ２１９の一例を示す図である。図２６のユーザ情報ＤＢ２１９は、ユーザ情報として、ユーザ毎に、ユーザＩＤ、氏名、年齢、性別、秘密鍵、送信先の項目を夫々対応付けて記憶している。

ユーザＩＤは、ユーザを一意に識別する情報である。ユーザＩＤは、セキュリティ会社のシステム７０で用いるＩＤや、他の事業者のシステム６０で用いるＩＤを対応付けてそれぞれ記憶している。

秘密鍵は、通知データを送信する際に通知データを暗号化するための鍵情報である。
送信先は、各ユーザが利用しているユーザ端末８０へ通知データを送信するためのアドレスであり、例えばメールアドレスやＩＰアドレス等である。

図２７は、情報処理システム２００により通知データを匿名化（多様化）して配信する処理の説明図である。

検出装置７１が異常を検出し、通知データをセキュリティ会社のシステム７０へ送信すると、当該システム７０が、この通知データを情報処理システム２００へ転送し、情報処理システム２００が受信すると、情報処理システム２００は、この通知データの識別情報と対応するユーザ（以下対象ユーザとも称す）のユーザ情報をユーザ情報ＤＢ２１９から読み出す（ステップＳ３１０）。

次に情報処理システム２００は、読み出した対象データの表記の揺れや各項目のデータ長、順序などが所定形式となるよう正規化して、メモリに格納する（ステップＳ３２５）。

情報処理システム２００は、対象データをメモリから読み出し（ステップＳ３３０）、対象データ中の各ワードについて、価値データが検索情報蓄積ＤＢ２２５に存在するか否かを判定する（ステップＳ３４０）。

情報処理システム２００は、全てのワードの価値データが検索情報蓄積ＤＢ２２５に存在する場合にはステップＳ３６０へ移行し（ステップＳ３４０，Ｙｅｓ）、足りない価値データがある場合（ステップＳ３４０，Ｎｏ）、当該ワードの価値データを外部の装置、本例では検索エンジン４０から取得する（ステップＳ３５０）。なお、検索エンジン４０から取得した価値データ以外、即ち検索情報蓄積ＤＢ２５に存在したワードの価値情報は、検索情報蓄積ＤＢ２２５から取得する（ステップＳ３６０）。

また、情報処理システム２００は、対象ユーザのデータの匿名性を満たすように、対象データの各項目を抽象化したワード（カテゴリ）に置き換えて抽象化候補を作成する（ステップＳ３７０）。なお、抽象化可能な項目が複数存在する場合には、各項目を抽象化した場合と抽象化しない場合の全てのパターン或いは所定数のパターンを作成する。

次に情報処理システム２００は、抽象化候補に含まれる各ワードの価値データに基づいて各パターンの抽象化候補の価値を算出し（ステップＳ３８０）、この抽象化候補の価値に基づいて検定を行う抽象化候補を決定する（ステップＳ３９５）。抽象化候補の決定は、例えば、全候補パターンの中で最も価値の高い抽象化候補に決定する。

これらの抽象化候補について、情報処理システム２００は、抽象化候補の匿名性を検定する（ステップＳ４００）。例えば、ｌ多様性を検定するため、一ユーザと対応付けられた同じ項目の値の組み合わせが当該抽象化候補中に存在する数（存在数）を求める。そして、この存在数のうち最小のものを最低出現数（ｌ値）として求め（ステップＳ４１０）、この最低出現数が１を超えているか否かを判定する（ステップＳ４２０）。

最低出現数（ｌ値）が１を超えていない場合（ステップＳ４２０，Ｎｏ）、情報処理システム２００は、抽象化候補のうち、少なくとも一つの項目の値を更に抽象化する、即ち抽象化したワードに置き換え（ステップＳ４３０）、ステップＳ４００に戻る。

一方、最低出現数（ｌ値）が１を超えている場合（ステップＳ４２０，Ｙｅｓ）、情報処理システム２００は、当該抽象化候補を選択する（ステップＳ４４５）。

情報処理システム２００は、選択された抽象化候補に該当する属性値を持つユーザ情報を抽出し（ステップＳ４５５）、各ユーザの送信先を求める（ステップＳ４６５）。

また、情報処理システム２００は、通知データを対象ユーザの秘密鍵で暗号化する（ステップＳ４７５）。

そして情報処理システム２００は、暗号化した通知データをステップＳ４６５で求めた各ユーザの送信先宛てに送信する（ステップＳ４８５）。

送信された通知データは、他の事業業者の各システム６０を介して各ユーザ端末８０に受信される。通知データを受信した各ユーザ端末８０は、メモリに記憶させておいた各ユーザの秘密鍵を読み出し、当該秘密鍵を用いて通知データを復号化する。

ここで、対象ユーザのユーザ端末８０では秘密鍵が一致するため正しく復号化でき、復号化した通知内容が出力される。一方、他のユーザのユーザ端末８０では、秘密鍵が暗号化に用いたものと異なるため、復号化に失敗するので、出力は行われない。即ち、通知内容は、対象ユーザのみに通知される。

前述したように対象ユーザのみに通知データを通知すると、個人を特定できる可能性があるため、本実施形態２では対象ユーザ以外にダミーのユーザも含め、ｌ−多様性を満たす複数のユーザに対して通知データを送信する。

これにより本実施形態の情報処理システム２００は、匿名性を保ちつつ、他の事業者のシステムを介して機微情報の通知を行うことができる。

〈その他〉
本発明は、上述の図示例にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。

３ 通信制御部
４ 記憶装置
５ 入出力インタフェース
１０ 病院情報システム
１１ 抽象化部
１３ 検定部
１４ 選択部
１５ データ更新部
１６ データ受付部
１７ 出力制御部
２０ 匿名価値評価システム
２１ 価値データ取得部
２２ 価値判定部
２３ ワードカテゴリ分析部
２４ 価値計算部
３０ 配信情報管理システム
３１ 匿名データ出力部
３２ 配信データ受付部
４０ 検索エンジン
４１ データ出力部
５０ 端末
６０ 他の事業者のシステム
７０ セキュリティ会社のシステム
７１ 検出装置
８０ ユーザ端末
１００ 情報処理システム
１０１ 受付機
１０２ 入出力端末
１０３ 病院情報サーバ
２００ 情報処理システム

Claims (6)

1. 情報処理装置と、匿名化装置と、配信管理装置とを備える情報処理システムであって、
   前記匿名化装置が、
   個人と対応付けられた複数の項目を含む対象データを前記情報処理装置から取得する対象データ取得部と、
   前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成する抽象化部と、
   前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求める価値判定部と、
   前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
   前記検定の条件を満たした抽象化候補データの価値に基づいて選択した抽象化候補データを匿名情報として出力する出力部と、を有し、
   前記配信管理装置が、
   前記検定の条件を満たした匿名情報を取得する取得部と、
   前記検定の条件を満たした匿名情報の特定の値に対する配信情報を受信する配信情報受信部と、
   前記検定の条件を満たした匿名情報の特定の値、及び当該特定の値に対する配信情報を前記情報処理装置へ送信する送信部と、を有し、
   前記情報処理装置が、
   前記検定の条件を満たした匿名情報と前記個人の識別情報とを対応付けたデータベースを参照し、前記配信管理装置から受信した前記特定の値と対応する個人を特定し、当該個人に対して前記配信情報を出力させる出力制御部を有する、
   情報処理システム。
2. 匿名化装置と、配信管理装置とを備える情報処理システムであって、
   前記匿名化装置が、
   個人と対応付けられた複数の項目を含む対象データを記憶する情報処理装置から前記対象データを取得する対象データ取得部と、
   前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成
   する抽象化部と、
   前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求める価値判定部と、
   前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
   前記検定の条件を満たした抽象化候補データの価値に基づいて選択した抽象化候補データを匿名情報として前記情報処理装置に出力する出力部と、を有し、
   前記配信管理装置が、
   前記情報処理装置から前記検定の条件を満たした匿名情報を取得する取得部と、
   前記検定の条件を満たした匿名情報の特定の値に対する配信情報を受信する配信情報受信部と、
   前記検定の条件を満たした匿名情報の特定の値、及び当該特定の値に対する配信情報を前記情報処理装置へ送信することで、前記情報処理装置に、前記特定の値と対応する個人に対して前記配信情報を出力させる送信部と、を有する、
   情報処理システム。
3. 情報処理装置と、匿名化装置と、配信管理装置とを備える情報処理システムが実行する情報処理方法であって、
   前記匿名化装置が、
   個人と対応付けられた複数の項目を含む対象データを前記情報処理装置から取得するステップと、
   前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成するステップと、
   前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求めるステップと、
   前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
   前記検定の条件を満たした抽象化候補データの価値に基づいて選択した抽象化候補データを匿名情報として出力するステップと、を実行し
   前記配信管理装置が、
   前記検定の条件を満たした匿名情報を取得するステップと、
   前記検定の条件を満たした匿名情報の特定の値に対する配信情報を受信するステップと、
   前記検定の条件を満たした匿名情報の特定の値、及び当該特定の値に対する配信情報を前記情報処理装置へ送信するステップと、を実行し、
   前記情報処理装置が、
   前記検定の条件を満たした匿名情報と前記個人の識別情報とを対応付けたデータベースを参照し、前記配信管理装置から受信した前記特定の値と対応する個人を特定し、当該個人に対して前記配信情報を出力させるステップを実行する、
   情報処理方法。
4. 匿名化装置と、配信管理装置とを備える情報処理システムが実行する情報処理方法であって、
   前記匿名化装置が、
   個人と対応付けられた複数の項目を含む対象データを記憶する情報処理装置から前記対象データを取得するステップと、
   前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成するステップと、
   前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求めるステップと、
   前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
   前記検定の条件を満たした抽象化候補データの価値に基づいて選択した抽象化候補データを匿名情報として前記情報処理装置に出力するステップと、を実行し、
   前記配信管理装置が、
   前記情報処理装置から前記検定の条件を満たした匿名情報を取得するステップと、
   前記検定の条件を満たした匿名情報の特定の値に対する配信情報を受信するステップと、
   前記検定の条件を満たした匿名情報の特定の値、及び当該特定の値に対する配信情報を前記情報処理装置へ送信することで、前記情報処理装置に、前記特定の値と対応する個人に対して前記配信情報を出力させるステップと、を実行する、
   情報処理方法。
5. 配信情報を配信するための情報処理システムに備えられる、情報処理装置と、匿名化装置と、配信管理装置とによって実行される情報処理プログラムであって、
   前記匿名化装置に、
   個人と対応付けられた複数の項目を含む対象データを前記情報処理装置から取得するステップと、
   前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成するステップと、
   前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求めるステップと、
   前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
   前記検定の条件を満たした抽象化候補データの価値に基づいて選択した抽象化候補データを匿名情報として出力するステップと、を実行させるための第１のプログラムと、
   前記配信管理装置に、
   前記検定の条件を満たした匿名情報を取得するステップと、
   前記検定の条件を満たした匿名情報の特定の値に対する配信情報を受信するステップと、
   前記検定の条件を満たした匿名情報の特定の値、及び当該特定の値に対する配信情報を前記情報処理装置へ送信するステップと、を実行させるための第２のプログラムと、
   前記情報処理装置に、
   前記検定の条件を満たした匿名情報と前記個人の識別情報とを対応付けたデータベースを参照し、前記配信管理装置から受信した前記特定の値と対応する個人を特定し、当該個人に対して前記配信情報を出力させるステップを実行させるための第３のプログラムと、を含む情報処理プログラム。
6. 配信情報を配信するための情報処理システムに備えられる、匿名化装置と、配信管理装置とによって実行される情報処理プログラムであって、
   前記匿名化装置に、
   個人と対応付けられた複数の項目を含む対象データを記憶する情報処理装置から前記対象データを取得するステップと、
   前記対象データ中の項目の値である語を抽象化した語に替えて抽象化候補データを生成するステップと、
   前記抽象化候補データに含まれる語の価値を受信し、前記抽象化候補データに含まれる語の価値に基づいて当該抽象化候補データの価値を求めるステップと、
   前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定するステップと、
   前記検定の条件を満たした抽象化候補データの価値に基づいて選択した抽象化候補デー
   タを匿名情報として前記情報処理装置に出力するステップと、を実行させるための第１のプログラムと、
   前記配信管理装置に、
   前記情報処理装置から前記検定の条件を満たした匿名情報を取得するステップと、
   前記検定の条件を満たした匿名情報の特定の値に対する配信情報を受信するステップと、
   前記検定の条件を満たした匿名情報の特定の値、及び当該特定の値に対する配信情報を前記情報処理装置へ送信することで、前記情報処理装置に、前記特定の値と対応する個人に対して前記配信情報を出力させるステップを実行させるための第２のプログラムと、
   を含む情報処理プログラム。

Images