JP6263620B2 - 匿名化データ提供装置及び方法 - Google Patents

Description

本発明は、匿名化データ提供装置及び方法に関し、データを二次的に利活用するためにプライバシに関する情報を匿名化又は曖昧化した上でデータを提供する匿名化データ提供システムに適用して好適なものである。

近年、ストレージの低価格化・大規模化及びネットワークの整備といった様々な情報技術の発展に伴い、蓄積される情報量が爆発的に増大してきている。このような状況の下、いわゆるビックデータを利活用しようという動きが活発化している。

ところで、ビックデータのうち個人に関する情報の二次的な利用については、プライバシの保護を施した上で利活用することが必要となる。この場合、例えば個人情報を単に削除したり、個人を特定するＩＤを別のＩＤに変換するだけでは、条件を組み合わせることによってその人が特定されるリスクが存在する。このため、より安全にプライバシを保護する技術としてｋ−匿名化技術が広く利用されている。ｋ−匿名化技術は、曖昧化する属性の組み合わせによって、同じ条件となるデータが少なくともｋ（以下、これをｋ値と呼ぶ）個以上存在するように元のデータを匿名化する技術である。

なおｋ−匿名化技術を利用した匿名化方法について、例えば特許文献１には、データの加工時（ｋ−匿名化処理時）に各データに対して優先順位を設定し、関数を用いて変形したデータを評価することにより、データ利用者が求める情報を可能な限り保持すると共に、データ利用者が求める情報の欠落を防止する方法が開示されている。

また特許文献２には、データベース中心のアプリケーションをテストするのに用いられるデータベースの匿名化（ｋ−匿名化、Ｉ−多様化など）において、テストへの有用性のある匿名化データベースを作成するために、テストへの影響に応じて準識別子をランク付けする方法が開示されている。

特開２０１１−１１３２８５号公報 米国特許出願公開第２０１２／００３６１３５号明細書

ところで、ｋ−匿名化技術を用いた匿名化処理（以下、適宜、これをｋ−匿名化処理と呼ぶ）では、ｋ値が大きくなると個人情報の安全性が高くなるが、情報損失量が大きくなる。つまり、ｋ−匿名化処理では、情報の安全性と精度との間にトレードオフの関係がある。

この場合において、従来のｋ−匿名化処理では、ｋ値及び情報損失量などの評価指数に基づいて、分析目的に応じたデータ群（例えば、糖尿病患者や高血圧患者のデータ群であり、以下、これをデータセットと呼ぶ）をｋ−匿名化処理している。このため、かかるｋ−匿名化処理において、評価指標を上げるためにデータ利用者が優先したい属性（以下、これを優先属性と呼ぶ）が匿名化されてしまい、ｋ−匿名化処理されたデータセット（以下、これを匿名化データセットと呼ぶ）が、データ利用者のニーズに即さないことがあった。

このような問題を解決するための１つの方法として、分析対象のデータ群について、データ利用者の優先属性を除いてｋ−匿名化処理を実行することが考えられる。しかしながら、このような方法によると、優先属性を含めざるを得ない場合に、分析目的により適した匿名化データセットを選択することができない。

本発明は以上の点を考慮してなされたもので、データ利用者のニーズに合致した匿名化データセットを提供し得る匿名化データ提供装置及び方法を提案しようとするものである。

かかる課題を解決するため本発明においては、元データを匿名化処理してデータ利用者に提供する匿名化データ提供装置において、前記元データのデータセットに対して前記匿名化処理を実行する匿名化処理部と、前記匿名化処理部を制御する匿名化データ選択処理部と、匿名化された前記データセットを匿名化データセットとして管理し、前記データ利用者からの要求に応じて、前記匿名化データセットを当該データ利用者に提供するデータ提供部とを設け、前記データ利用者が、所望する前記データセットを選択すると共に、当該データセットについての所望する属性の所望する統計量の許容有意水準を利用者要件として設定し、前記匿名化データ選択処理部が、前記データ利用者により選択された前記データセットに対して複数回の前記匿名化処理を実行するよう前記匿名化処理部を制御し、複数回の前記匿名化処理により得られた複数個の前記匿名化データセットについて、前記データ利用者により設定された前記統計量をそれぞれ算出し、算出した各前記匿名化データセットの前記統計量と、前記元データの前記データセットの当該統計量とをそれぞれ比較し、当該統計量の差異が前記データ利用者が設定した前記許容有意水準を満たす前記匿名化データセットを前記利用者要件を満たす前記匿名化データセットとして選択し、前記データ提供部が、前記匿名化データ選択処理部により選択された前記匿名化データセットを前記データ利用者に提供するようにした。

また本発明においては、元データを匿名化処理してデータ利用者に提供する匿名化データ提供装置において実行される匿名化データ提供方法において、前記匿名化データ提供装置に、前記元データのデータセットに対して前記匿名化処理を実行する匿名化処理部と、前記匿名化処理部を制御する匿名化データ選択処理部と、匿名化された前記データセットを匿名化データセットとして管理し、前記データ利用者からの要求に応じて、前記匿名化データセットを当該データ利用者に提供するデータ提供部とを設け、前記データ利用者が、所望する前記データセットを選択すると共に、当該データセットについての所望する属性の所望する統計量の許容有意水準を利用者要件として設定し、前記匿名化データ選択処理部が、前記データ利用者により選択された前記データセットに対して複数回の前記匿名化処理を実行するよう前記匿名化処理部を制御する第１のステップと、前記匿名化データ選択処理部が、複数回の前記匿名化処理により得られた複数個の前記匿名化データセットについて、前記データ利用者により設定された前記統計量をそれぞれ算出する第２のステップと、前記匿名化データ選択処理部が、算出した各前記匿名化データセットの前記統計量と、前記元データの前記データセットの当該統計量とをそれぞれ比較し、当該統計量の差異が前記データ利用者が設定した前記許容有意水準を満たす前記匿名化データセットを前記利用者要件を満たす前記匿名化データセットとして選択する第３のステップと、前記データ提供部が、前記匿名化データ選択処理部により選択された前記匿名化データセットを前記データ利用者に提供する第４のステップとを設けるようにした。

本匿名化データ提供装置及び方法によれば、データ利用者が設定した利用者要件を満たす匿名化データセットをデータ利用者に提供することができる。

本発明によれば、データ利用者のニーズに合致した匿名化データセットを当該データ利用者に提供し得る匿名化データ提要装置及び方法を実現できる。

本実施の形態による匿名化データ提供システムのハードウェア構成を示すブロック図である。 本実施の形態による匿名化データ提供システムの論理構成を示すブロック図である。 元データ及び匿名化前データセットの構成を示す概念図である。 プライバシ保護条件テーブルの構成を示す概念図である。 匿名化データセットの構成を示す概念図である。 データカタログ情報の構成を示す概念図である。 データカタログ選択画面の構成を略線的に示す略線図である。 統計量強化項目指定画面の構成を略線的に示す略線図である。 匿名化データセットの提供に関する処理の流れを示すラダーチャートである。 統計量強化匿名化データ選択処理の処理手順を示すフローチャートである。 ｋ値可変統計量強化処理の処理手順を示すフローチャートである。 ｋ値固定統計量強化処理の処理手順を示すフローチャートである。 ｋ値固定統計量強化処理の処理手順を示すフローチャートである。 ｋ−匿名化パラメータ群の一例を示す図表である。

以下図面について、本発明の一実施の形態を詳述する。

（１）本実施の形態による情報処理システムの構成
図１において、１は全体として本実施の形態による情報処理システムを示す。この情報処理システム１は、元データ提供者２が提供するデータ（以下、これを元データと呼ぶ）をデータ収集・管理・提供者３が収集すると共に、収集した元データをｋ−匿名化処理した上で管理し、ｋ−匿名化処理した元データをデータ利用者４からの要求に応じてデータ収集・管理・提供者３が提供するシステムである。

この情報処理システム１は、図１に示すように、元データ提供者２の情報処理装置２０と、データ収集・管理・提供者３の匿名化データ提供システム３０を構成するデータ準備装置３１とが第１のネットワーク１０を介して接続され、当該匿名化データ提供システム３０を構成するデータ提供装置３２と、データ利用者４のクライアント端末４０とが第２のネットワーク１１を介して接続されて構成されている。

情報処理装置２０は、ＣＰＵ（Central Processing Unit）２１、メモリ２２及びハードディスク装置（HDD：Hard Disc Drive）２３と、入力装置２４及びモニタ２５となどを備えたパーソナルコンピュータ等から構成される。そして、ハードディスク装置２３には元データが蓄積されており、この元データが第１のネットワーク１０を介して匿名化データ提供システム３０のデータ準備装置３１に収集される。

データ準備装置３１は、ＣＰＵ３３、メモリ３４及びハードディスク装置３５などを備えたパーソナルコンピュータ等から構成される。データ準備装置３１は、各元データ提供者２の情報処理装置２０から収集した元データに対してｋ−匿名化処理を施す。そしてデータ準備装置３１は、かかるｋ−匿名化処理により得られた匿名化データをデータ提供装置３２に送信する。

データ提供装置３２は、データ準備装置３１と同様に、ＣＰＵ３６、メモリ３７及びハードディスク装置３８などを備えたパーソナルコンピュータ等から構成される。データ提供装置３２は、データ準備装置３１から送信される匿名化データをハードディスク装置３８に格納して保持し、保持した匿名化データをクライアント端末４０を利用したデータ利用者４からの要求に応じてそのデータ利用者４に提供する。

クライアント端末４０も、ＣＰＵ４１、メモリ４２及びハードディスク装置４３と、入力装置４４及びモニタ４５となどを備えたパーソナルコンピュータ等から構成される。クライアント端末４０は、データ利用者４の操作に応じて第２のネットワーク１１を介して匿名化データ提供システム３０のデータ提供装置３２にアクセスし、データ提供装置３２から提供される匿名化データをダウンロードしてハードディスク装置４３に記憶する。

図２は、本情報処理システム１の論理構成を示す。本実施の形態においては、データ収集・管理・提供者３が収集、管理及び提供する元データとしてヘルスケアデータを想定しており、元データ提供者２として、図２に示すように、ヘルスケアデータを管理する病院や、薬局、診療所、健康保険組合、バイオバンク及び又は家庭などを想定している。ただし、ヘルスケアデータは、本来個人のものであるため、元データ提供者２としては、個人そのものを想定し、個人からヘルスケアデータを直接収集することを想定しても良い。

また本実施の形態においては、データ利用者４として、病院や保険所、厚生労働省などの行政機関、健康保険組合などの主に公的な役割をもつ機関だけでなく、製薬企業や、食品企業及び美容企業などの私企業も想定している。

データ準備装置３１は、メモリ３４（図１）に格納されたデータ収集・名寄せ処理部５０、匿名化処理部５１及び統計量強化匿名化データ選択処理部５２と、ハードディスク装置３５（図１）に格納された元データデータベース５３及び匿名化条件データベース５４とを備えて構成される。

データ収集・名寄せ処理部５０は、元データ提供者２の情報処理装置２０（図１）から元データ（ヘルスケアデータ）を収集し、収集した元データを元データデータベース５３に格納する機能を有するプログラムである。またデータ収集・名寄せ処理部５０は、複数の元データ提供者２に跨って一人の元データが存在する場合に、これらの元データを一人の元データとして纏める名寄せ処理をも実行する。

なおデータ準備装置３１が元データ提供者２からデータを収集するタイミングは、元データ提供者２にてデータが更新されるごとに行っても良く、また一日に一度、夜間に１日分の更新分を収集するようにしても良い。また元データは情報処理装置２０からデータ準備装置３１に送信するようにしても、又は、データ準備装置３１から各情報処理装置２０に取りに行くようにしても良い。

匿名化処理部５１は、匿名化条件データベース５４に格納されたプライバシ保護条件テーブル５６を参照しながら、元データデータベース５３に格納された元データに対して個人情報の匿名化を行う機能を有するプログラムである。匿名化処理部５１は、例えば糖尿病患者の元データ又は高血圧患者の元データなど、関連する複数の元データを纏めて１つのデータセット（以下、これを匿名化前データセットと呼ぶ）５５を生成し、生成した匿名化前データセット５５に対してｋ−匿名化処理を施すことにより、匿名化データセット６４を生成する。そして匿名化処理部５１は、このようにして生成した匿名化データセット６４のデータをデータ提供装置３２に送信する。

統計量強化匿名化データ選択処理部５２は、データ利用者４からの要求に応じて、そのデータ利用者４により指定された匿名化前データセット５５について、ｋ値や匿名化処理時のパラメータを変えながら複数回のｋ−匿名化処理を匿名化処理部５１に実行させる機能を有するプログラムである。また統計量強化匿名化データ選択処理部５２は、かくして得られた複数の匿名化データセット６４の中から、データ利用者４が指定した属性（生年月日、入院日又は退院日など）についての当該データ利用者４が指定した統計量（平均、分散又は相関係数など）が当該データ利用者４が指定した許容される有意水準（以下、これを許容有意水準と呼ぶ）の範囲内にある匿名化データセット６４のうち、安全性が最も高い匿名化データセット（例えばｋ値が最も大きい匿名化データセット）をデータ提供装置３２に提供する。統計量強化匿名化データ選択処理部５２の詳細については、後述する。

元データデータベース５３は、元データを保持及び管理するために利用されるデータベースであり、データ準備装置３１が各元データ提供者２からそれぞれ収集した元データが順次登録される。上述のように本実施の形態においては、元データとしてヘルスケアデータを想定しており、このため個々の元データは、図３に示すように、患者ＩＤ、患者氏名、患者生年月日、入院日及び退院日などのその人の属性情報と、その人の検査値となどを含む。図３においては、１つの行が一人の元データに対応しており、図３全体で上述の匿名化前データセット５５を表している。

匿名化条件データベース５４には、プライバシ保護条件テーブル５６が格納される。プライバシ保護条件テーブル５６は、予めデータ収集・管理・提供者３により設定された、元データに含まれる個人情報の所有者である個人のプライバシを保護するための条件を管理するために利用されるテーブルであり、図４に示すように、個人情報範囲欄５６Ａ、削除項目欄５６Ｂ、変更項目欄５６Ｃ、保護項目欄５６Ｄ及びｋ値最小値欄５６Ｅを備えて構成される。

そして個人情報範囲欄５６Ａには、データ準備装置３１が元データ提供者２の情報処理装置２０から収集した元データに含まれる情報のうち、ＩＤ、名前、住所及び電話番号等の個人情報として取り扱うべき個々のデータ項目の名称（以下、これを項目名と呼ぶ）がすべて格納される。

また削除項目欄５６Ｂには、かかる個人情報として取り扱うべきデータ項目のうち、個人のプライバシを保護するためにデータ利用者４には提供しない、つまりｋ−匿名化処理の際に削除される各データ項目（以下、これを削除項目と呼ぶ）の項目名が格納される。

さらに変更項目欄５６Ｃには、内容を変更してデータ利用者４に提供可能な各データ項目（以下、これを変更項目と呼ぶ）の項目名が格納される。図４の例では変更項目が設定されていないが、例えば個人を特定するＩＤを別のＩＤに変換すればプライバシを保護した状態でデータを提供できる場合には、変更項目としてＩＤを設定する。

さらに保護項目欄５６Ｄには、ｋ−匿名化の対象となり得る準識別子と呼ばれるデータ項目（以下、これを保護項目と呼ぶ）の項目名が格納され、ｋ値最小値欄５６Ｅには、匿名化処理部５１が実行するｋ−匿名化処理におけるｋ値の最小値（以下、これをｋ値最小値と呼ぶ）が格納される。このｋ値最小値は、予めデータ収集・管理・提供者３により設定される。

なお個人情報範囲として設定された各データ項目は、それぞれ削除項目、変換項目及び保護項目のいずれかに設定される。ただし、個人情報範囲として設定されていないデータ項目が削除項目、変更項目及び又は保護項目として設定されていても良い。

また個人のプライバシを保護するための条件は、法律やガイドラインに依存するため、国によって定義が変わることがあるほか、時代によっても変化することがある。このような場合には、複数のプライバシ保護条件テーブル５６を用意しておいても良い。例えば、複数の国に存在するデータ利用者４に対し、後述のようにデータ提供装置３２の匿名化データベース６０に格納された匿名化データセット６４を提供する場合には、データ利用者４がアクセスしている国に対応するプライバシ保護条件テーブル５６を選択して、提供する匿名化データセット６４を変更するようにしても良い。

一方、データ提供装置３２は、ハードディスク装置３８（図１）に格納された匿名化データベース６０、データカタログ情報６１及び利用条件情報６２と、メモリ３７（図１）に格納されたデータ提供管理部６３とを備えて構成される。

匿名化データベース６０は、データ準備装置３１の匿名化処理部５１により作成された匿名化データセット６４を保持及び管理するために利用されるデータベースであり、複数の匿名化データセット６４が格納される。なお匿名化データセット６４のデータ構造の一例を図５に示す。図５は、患者ＩＤ・患者氏名等の削除項目を削除し、保護項目である患者住所及び患者年齢を匿名化するｋ−匿名化処理（ｋ＝２）が施された場合の一例である。

またデータカタログ情報６１は、データ提供装置３２がデータ利用者４に提供可能な各匿名化データセット６４の概要を表す情報であり、例えば図６に示すようなテーブル構成を有する。図６に示すデータカタログでは、１つのレコード（行）が１つの匿名化データセット６４に対応しており、これらレコードがそれぞれデータセットＩＤ欄６１Ａ、匿名化データ項目欄６１Ｂ、一般データ項目欄６１Ｃ、ｋ値欄６１Ｄ及び損失統計量欄６１Ｅなどから構成される。

そしてデータセットＩＤ欄６１Ａには、対応する匿名化データセット６４に対して付与されたその匿名化データセット６４に固有の識別子（データセットＩＤ）が格納され、匿名化データ項目欄６１Ｂには、対応する匿名化データセット６４において匿名化されたすべてのデータ項目の項目名がそれぞれ格納される。

また一般データ項目欄６１Ｃには、対応する匿名化データセット６４において匿名化されていないすべてのデータ項目の項目名がそれぞれ格納され、ｋ値欄６１Ｄには、対応する匿名化データセット６４におけるｋ値の値が格納される。さらに損失統計量欄６１Ｅには、対応する匿名化データセット６４における損失情報量（I.L）と、その匿名化データセット６４の平均、分散及び相関関数などの各種統計量とがそれぞれ格納される。

利用条件情報６２は、利用者要件テーブル６５を備えて構成される。利用者要件テーブル６５には、図８について後述する統計量強化項目指定画面８０を用いてデータ利用者４により設定された、いずれかの匿名化データセット６４についてそのデータ利用者４が設定した要件（以下、これを利用者要件と呼ぶ）が登録される。具体的には、データ利用者４が指定した匿名化データセット６４について、そのデータ利用者４が指定した属性（生年月日又は入退院日などであり、以下、これを対象属性と呼ぶ）の当該データ利用者４が指定した統計量（平均、分散又は相関係数などであり、以下、これを対象統計量と呼ぶ）が当該データ利用者４が指定した許容有意水準を満たすべきことが利用者要件として設定される。

データ提供管理部６３は、データ利用者４からの要求に応じて、当該データ利用者４により指定された匿名化データセット６４をそのデータ利用者４に提供する機能を有するプログラムである。実際上、データ提供管理部６３は、データ利用者４からの要求に応じて、データカタログ情報６１の内容が掲載された図７について後述するデータセット選択画面７０をそのデータ利用者４に表示させる。そしてデータ提供管理部６３は、そのデータセット選択画面７０を用いてデータ利用者４により購入希望の匿名化データセット６４が指定されると、その匿名化データセット６４のデータを匿名化データベース６０から読み出してそのデータ利用者４に提供する。

（２）各種画面の構成
図７は、データ提供装置３２から送信される画面データに基づきクライアント端末４０（図１）に表示されるデータセット選択画面７０の構成を示す。このデータセット選択画面７０は、データ利用者４がデータ収集・管理・提供者３から匿名化データセット６４を購入するに際して、購入対象の匿名化データセット６４を選択するための画面である。

このデータセット選択画面７０は、データ提供装置３２が提供可能な匿名化データセット６４がすべて掲載された匿名化データセット一覧７１と、購入ボタン７２、次へボタン７３及びキャンセルボタン７４とを備えて構成される。

匿名化データセット一覧７１は、１つのレコード（行）が１つの匿名化データセット６４に対応しており、これらレコードがそれぞれチェックボックス欄７１Ａ、データセットＩＤ欄７１Ｂ、匿名化データ項目欄７１Ｃ、一般データ項目欄７１Ｄ、ｋ値欄７１Ｅ及び損失統計量欄７１Ｆなどから構成される。

そして各レコードのチェックボックス欄７１Ａには、それぞれチェックボックス７１ＡＸが表示される。またデータセットＩＤ欄７１Ｂ、匿名化データ項目欄７１Ｃ、一般データ項目欄７１Ｄ、ｋ値欄７１Ｅ及び損失統計量欄７１Ｆ等には、それぞれ図６について上述したデータカタログ情報６１の対応するデータセットＩＤ欄６１Ａ、匿名化データ項目欄６１Ｂ、一般データ項目欄６１Ｃ、ｋ値欄６１Ｄ又は損失統計量欄６１Ｅ等に格納された情報と同じ情報が格納される。

そしてデータセット選択画面７０では、匿名化データセット一覧７１に掲載された匿名化データセット６４の中から所望する匿名化データセット６４に対応するチェックボックス７１ＡＸをクリックすることによりその匿名化データセット６４を購入対象として選択することができる。この場合、そのチェックボックス７１ＡＸ内にチェックマーク７１ＡＹが表示される。

またデータセット選択画面７０では、上述のようにして所望する匿名化データセット６４を選択した後に購入ボタン７２をクリックすることによって、その匿名化データセット６４を購入することができる。この場合、データ利用者４によって購入された匿名化データセット６４のデータがデータ提供装置３２からそのデータ利用者４のクライアント端末４０（図１）に送信される。なおデータセット選択画面７０は、キャンセルボタン７４をクリックすることによって閉じることができる。

一方、データセット選択画面７０において、上述のようにして購入対象の匿名化データセット６４を選択した上で次へボタン７３をクリックすることによって、図８に示す統計量強化項目指定画面８０を開くことができる。統計量強化項目指定画面８０は、データセット選択画面７０において選択した匿名化データセット６４について、データ利用者４が希望する利用者要件を設定するための画面である。

この統計量強化項目指定画面８０には、対象データセットＩＤ表示欄８０Ａが設けられており、データセット選択画面７０（図７）においてデータ利用者４が選択した匿名化データセット６４のデータセットＩＤがこの対象データセットＩＤ表示欄８０Ａに表示される。

また対象データセットＩＤ表示欄８０Ａの下段には、データ利用者４が重要と考えている対象属性（つまりデータ利用者４がデータ収集・管理・提供者３から購入する匿名化データセット６４に含まれる情報の中で得に利用したいと考えているデータ項目）を指定するための複数のテキストボックス（以下、これらを対象属性指定テキストボックスと呼ぶ）８０Ｂが設けられると共に、これらの対象属性指定テキストボックス８０Ｂにそれぞれ対応させて、対象統計量を指定するためのテキストボックス（以下、これらを対象統計量指定テキストボックスと呼ぶ）８０Ｃと、許容有意水準を指定するためのテキストボックス（以下、これを許容有意水準指定テキストボックスと呼ぶ）８０Ｄとが設けられている。

かくしてデータ利用者４は、統計量強化項目指定画面８０の対象属性指定テキストボックス８０Ｂに対象属性の属性名（データ項目の項目名）を入力すると共に、その対象属性指定テキストボックス８０Ｂと対応付けられた（本実施の形態においては下側に表示された）対象統計量指定テキストボックス８０Ｃ及び許容有意水準指定テキストボックス８０Ｄに所望する統計量及び許容有意水準をそれぞれ入力することによって、対象データセットＩＤ表示欄８０ＡにデータセットＩＤが格納された匿名化データセット６４についての所望する利用者要件を設定することができる。例えば図８の例では、「生年月日」という対象属性（データ項目）については、「平均」が「５％」の有意水準を満たすべきことが設定された状態を示している。

また統計量強化項目指定画面８０には、ｋ−匿名化処理時においてｋ値を可変とするか又は固定とするかを選択するための２つのトグルスイッチ８０ＥＸ，８０ＥＹが設けられている。これら２つのトグルスイッチ８０ＥＸ，８０ＥＹのうち一方はｋ値を可変とする設定に対応付けられ、他方はｋ値を固定する設定に対応付けられており、これら２つのトグルスイッチ８０ＥＸ，８０ＥＹのうちの所望するトグルスイッチ８０ＥＸ，８０ＥＹをクリックすることによって、対応する設定（可変又は固定）を選択することができるようになされている。

さらに統計量強化項目指定画面８０には、ｋ値の最大値を指定するためのテキストボックス（以下、これをｋ値最大値指定テキストボックスと呼ぶ）８０Ｆが設けられている。かくしてデータ利用者４は、図１０について後述する統計量強化匿名化データ選択処理においてｋ値を順次１ずつ増加させながら繰り返し実行されるｋ−匿名化処理におけるｋ値の最大値をｋ値最大値指定テキストボックス８０Ｆに入力することにより設定することができる。

さらに統計量強化項目指定画面８０の下段には、ＯＫボタン８０Ｇ及びキャンセルボタン８０Ｈが表示される。そして統計量強化項目指定画面８０では、キャンセルボタン８０Ｈをクリックすることによって、当該統計量強化項目指定画面８０を閉じることができ、上述のようにして所望する匿名化データセット６４ついて所望する利用者要件を設定した上でＯＫボタン８０Ｇをクリックすることによって、当該統計量強化項目指定画面８０において設定された内容に応じた匿名化データセット６４を匿名化データ提供システム３０（図２）に作成させることができる。

（３）匿名化データセットの提供に関する処理の流れ
図９は、本情報処理システム１において、所望する匿名化データセット６４について所望する利用者要件をデータ利用者４が設定し、その利用者要件を満たす匿名化データセット６４を匿名化データ提供システム３０が作成し、作成したその匿名化データセット６４をデータ利用者４が購入するまでの一連の処理の流れを示す。

この一連の処理は、データ利用者４が、自己のクライアント端末４０（図１）を用いて匿名化データ提供システム３０のデータ提供装置３２にアクセスし、データカタログ情報６１（図２）に基づくデータカタログの提示をリクエストすることにより開始される（ＳＰ１）。

データ提供装置３２は、かかるリクエストを受信すると、図７について上述したデータセット選択画面７０の画面データをそのデータ利用者４のクライアント端末４０に送信することにより、当該データセット選択画面７０をそのクライアント端末４０に表示させる（ＳＰ２）。

クライアント端末４０は、データセット選択画面７０においてデータ利用者４が所望する匿名化データセット６４を選択した上で次へボタン７３（図７）をクリックすると、そのとき選択された匿名化データセット６４をクライアント端末４０からデータ提供装置３２に通知する（ＳＰ３）。

データ提供装置３２は、かかる通知を受信すると、図８について上述した統計量強化項目指定画面８０の画面データをその通知の送信元のクライアント端末４０に送信することにより、当該統計量強化項目指定画面８０をそのクライアント端末４０に表示させる（ＳＰ４）。

そしてクライアント端末４０は、データ利用者４が統計量強化項目指定画面８０において、対象属性、対象統計量、許容有意水準、ｋ値の自由度及びｋ値の最大値などを設定した後にＯＫボタン８０Ｇ（図８）をクリックすると、これらの設定内容を利用者要件情報としてデータ提供装置３２に送信する（ＳＰ５）。

データ提供装置３２は、かかる利用者要件情報を受信すると、受信した利用者要件情報に基づいて利用条件情報６２（図２）の利用者要件テーブル６５を更新する（ＳＰ６）。またデータ提供装置３２は、この後、データ利用者４が要求した利用者要件を満たす匿名化データセット６４を作成するようデータ準備装置３１に指示を与える。

かくして、データ準備装置３１は、かかる指示がデータ提供装置３２から与えられると、データ利用者４が設定した利用者要件を満たす匿名化データセット６４を作成するために必要な元データの転送要求を、該当する元データ提供者２の情報処理装置２０（図２）に送信する（ＳＰ７）。そしてデータ準備装置３１は、かかる転送要求に応じて必要な元データが転送されてくると（ＳＰ８）、転送されてきた元データに基づいて匿名化前データセット５５（図２）を生成し、生成した匿名化前データセット５５を元データデータベース５３に格納する（ＳＰ９）。

続いて、データ準備装置３１は、ｋ値の値又はｋ−匿名化処理時のパラメータを順次変更しながら、ステップＳＰ９で元データデータベース５３に格納した匿名化前データセット５５に対するｋ−匿名化処理を繰り返すことにより複数の匿名化データセット６４を作成する（ＳＰ１０）。

そしてデータ準備装置３１は、ステップＳＰ１０で作成した複数の匿名化データセット６４について、ステップＳＰ５においてデータ利用者４が設定した利用者要件を満たしているか否か（つまり対象属性の対象統計量の値がステップＳＰ５でデータ利用者４が設定した許容有意水準を満たしているか否か）をそれぞれ判定する（ＳＰ１１）。

そしてデータ準備装置３１は、ステップＳＰ１０で作成したいずれの匿名化データセット６４も利用者要件を満たしていない場合には、ステップＳＰ１０及びステップＳＰ１１の処理をリトライする（ＳＰ１２）。またデータ準備装置３１は、ステップＳＰ１０で作成したいずれかの匿名化データセット６４が利用者要件を満たしている場合には、その中でｋ値が最も大きい匿名化データセット６４をデータ提供装置３２に送信する。

かくしてデータ提供装置３２は、データ準備装置３１から与えられた匿名化データセット６４を匿名化データベース６０に格納すると共に、その匿名化データセット６４をデータカタログに登録するようデータカタログ情報６１を更新する（ＳＰ１３）。またデータ提供装置３２は、この後、更新後のデータカタログ情報６１を掲載したデータセット選択画面７０（図７）の画面データをデータ利用者４のクライアント端末４０に送信することにより、当該画面データに基づくデータセット選択画面７０をそのクライアント端末４０に表示させる（ＳＰ１４）。

そしてクライアント端末４０は、このデータセット選択画面７０においてデータ利用者４が所望する匿名化データセット６４を選択した上で購入ボタン７２（図７）をクリックすると、その旨をデータ提供装置３２に通知する（ＳＰ１５）。

かくしてデータ提供装置３２は、かかる通知を受信すると、データセット選択画面７０においてデータ利用者４が選択した匿名化データセット６４のデータを匿名化データベース６０から読み出してそのデータ利用者４のクライアント端末４０に送信する（ＳＰ１６）。

（４）統計量強化匿名化データ選択処理
（４−１）統計量強化匿名化データセット作成処理
図１０は、図９について上述した一連の処理の流れのうち、ステップＳＰ１０においてデータ準備装置３１の統計量強化匿名化データ選択処理部５２（図２）により実行される統計量強化匿名化データ選択処理の処理手順を示す。

統計量強化匿名化データ選択処理部５２は、かかるステップＳＰ１０においてこの統計量強化匿名化データ選択処理を開始し、まず、ステップＳＰ４においてデータ提供装置３２がクライアント端末４０に表示させた統計量強化項目指定画面８０を用いてデータ利用者４が設定したｋ値の自由度をデータ提供装置３２から取得し（ＳＰ２０）、取得したｋ値の自由度が「可変」であるか否かを判断する（ＳＰ２１）。

統計量強化匿名化データ選択処理部５２は、この判断で肯定結果を得ると、ｋ値を順次１ずつ増加させながらｋ−匿名化処理を繰り返し実行するｋ値可変統計量強化処理を実行し（ＳＰ２２）、この後、この統計量強化匿名化データ選択処理を終了する。

これに対して、統計量強化匿名化データ選択処理部５２は、この判断で否定結果を得ると、ｋ値の値を変化させることなくｋ−匿名化処理時のパラメータを変化させながらｋ−匿名化処理を繰り返し実行するｋ値固定統計量強化処理を実行し（ＳＰ２３）、この後、この統計量強化匿名化データ選択処理を終了する。

（４−２）ｋ値可変統計量強化処理
図１１は、図１０について上述した統計量強化匿名化データ選択処理のステップＳＰ２２において、統計量強化匿名化データ選択処理部５２により実行されるｋ値可変統計量強化処理の具体的な処理内容を示す。

統計量強化匿名化データ選択処理部５２は、統計量強化匿名化データ選択処理のステップＳＰ２２に進むと、この図１１に示すｋ値可変統計量強化処理を開始し、まず、プライバシ保護条件テーブル５６（図４）から予め設定されたｋ値の最小値Ｋminを取得する（ＳＰ３０）。

続いて、統計量強化匿名化データ選択処理部５２は、データ利用者４により設定されたｋ値の最大値Ｋmaxをデータ提供装置３２から取得し（ＳＰ３１）、さらに予め匿名化条件データベース５４（図２）に設定されているｋ−匿名化処理の試行回数の上限値Ｎmaxを匿名化処理部５１を介して取得する（ＳＰ３２）。

続いて、統計量強化匿名化データ選択処理部５２は、ｋ−匿名化処理におけるｋ値の値をステップＳＰ３０で取得した最小値Ｋminとするよう匿名化処理部５１に設定すると共に、ｋ−匿名化処理の試行回数をカウントするための変数ｎの値を「１」に設定する（ＳＰ３３）。

この後、統計量強化匿名化データ選択処理部５２は、データ利用者４が指定した匿名化データセット６４の元となる匿名化前データセット５５についてｋ−匿名化処理を実行するよう匿名化処理部５１に指示を与える（ＳＰ３４）。かくして、この指示に応じて、匿名化処理部５１において、対応する匿名化前データセット５５に対するｋ−匿名化処理が実行される。

そして統計量強化匿名化データ選択処理部５２は、このとき実行されたｋ−匿名化処理により作成された匿名化データセット６４のデータを一時的にハードディスク装置３５（図１）に格納する（ＳＰ３５）。

次いで、統計量強化匿名化データ選択処理部５２は、匿名化処理部５１に設定したｋ値の値がステップＳＰ３１で取得した最大値Ｋmax未満であるか否か、及び、変数ｎの値がステップＳＰ３２で取得した試行回数の上限値Ｎmax未満であるか否かを順次判断する（ＳＰ３６，ＳＰ３７）。

統計量強化匿名化データ選択処理部５２は、これらステップＳＰ３６及びステップＳＰ３７の判断で共に肯定結果を得ると、ｋ値の値及び変数ｎの値をそれぞれ１ずつ増加させた後に（ＳＰ３８）、ステップＳＰ３４に戻り、この後、ステップＳＰ３６又はステップＳＰ３７において否定結果を得るまでステップＳＰ３４〜ステップＳＰ３８の処理を繰り返す。

以上のステップＳＰ３４〜ステップＳＰ３８の繰返し処理により、ｋ−匿名化処理の試行回数（変数ｎの値）が上限値Ｎmaxを超えない範囲でｋ値を最小値Ｋminから最大値Ｋmaxまで順次変化させながら、データ利用者４が指定した匿名化データセット６４の元となる匿名化前データセット５５（図２）に対してｋ−匿名化処理をそれぞれ実行することにより得られた匿名化データセット６４がそれぞれハードディスク装置３５に格納されることになる。

そして統計量強化匿名化データ選択処理部５２は、やがてｋ−匿名化処理のｋ値がデータ利用者４が設定した最大値Ｋmaxに到達し、又は、ｋ−匿名化処理の試行回数（変数ｎの値）が上限値Ｎmaxに到達することによりステップＳＰ３６又はステップＳＰ３７で否定結果を得ると、データ利用者４が指定した匿名化データセット６４の元となる匿名化前データセット５５の当該データ利用者４が指定した対象属性の当該データ利用者４が指定した対象統計量の値と、現在のｋ値でｋ−匿名化処理を実行することにより得られた匿名化データセット６４の当該対象統計量の値との差異を算出する（ＳＰ３９）。

続いて、統計量強化匿名化データ選択処理部５２は、ステップＳＰ３９において算出した差異が、データ利用者４により設定された許容有意水準を満たすか否かを判断する（ＳＰ４０）。そして統計量強化匿名化データ選択処理部５２は、この判断で否定結果を得ると、そのときのｋ値の値が最小値Ｋminであるか否かを判断する（ＳＰ４１）。

統計量強化匿名化データ選択処理部５２は、この判断で否定結果を得ると、ｋ値の値を１だけ減少させる（ＳＰ４２）。そして統計量強化匿名化データ選択処理部５２は、この後、ステップＳＰ３９に戻り、この後、ステップＳＰ３９〜ステップＳＰ４２の処理を繰り返す。

そして統計量強化匿名化データ選択処理部５２は、やがてステップＳＰ４０で肯定結果を得ると、そのとき対象としているｋ値でｋ−匿名化処理を実行することにより得られた匿名化データセット６４を、データ利用者４が設定した利用者要件を満たす匿名化データセット６４として、そのデータをデータ提供装置３２に出力し（ＳＰ４４）、この後、このｋ値可変統計量強化処理を終了する。

従って、この場合には、データ利用者４が指定した属性（対象属性）の当該データ利用者４が指定した統計量（対象統計量）の値が当該データ利用者４が指定した許容有意水準を満たす匿名化データセット６４のうち、最もｋ値の値が大きい匿名化データセット６４（つまり安全性が最も高い匿名化データセット６４）のデータがデータ提供装置３２に出力されることになる。そしてこの場合には、図７について上述したデータセット選択画面７０の匿名化データセット一覧７１（図７）に、この匿名化データセット６４の概要が追加表示される。

これに対して、統計量強化匿名化データ選択処理部５２は、ステップＳＰ４１の判断で否定結果を得ると、データ利用者４が指定した属性の当該データ利用者４が指定した統計量の値が当該データ利用者４が設定した許容有意水準を満たさない旨の警告をデータ提供装置３２に通知する（ＳＰ４３）。

さらに統計量強化匿名化データ選択処理部５２は、そのとき対象としているｋ値（この場合のｋ値の値は最小値Ｋmin）でｋ−匿名化処理を実行することにより得られた匿名化データセット６４のデータをデータ提供装置３２に出力し（ＳＰ４４）、この後、このｋ値可変統計量強化処理を終了する。

従って、この場合には、データ利用者４が指定した属性（対象属性）の当該データ利用者４が指定した統計量（対象統計量）の値が当該データ利用者４が指定した許容有意水準を満たさない匿名化データセット６４のうち、最もｋ値の値が小さい匿名化データセット６４（つまり精度が最も高いと考えられる匿名化データセット６４）のデータがデータ提供装置３２に出力されることになる。そしてこの場合には、図７について上述したデータセット選択画面７０の匿名化データセット一覧７１（図７）に、この匿名化データセット６４の概要が追加表示されると共に、当該匿名化データセット６４が利用者要件を満たしていない旨の警告が当該匿名化データセット６４の概要と対応付けて表示される。

（４−３）ｋ値固定統計量強化処理
図１２Ａ及び図１２Ｂは、図１０について上述した統計量強化匿名化データ選択処理のステップＳＰ２３において、統計量強化匿名化データ選択処理部５２により実行されるｋ値固定統計量強化処理の具体的な処理内容を示す。

統計量強化匿名化データ選択処理部５２は、統計量強化匿名化データ選択処理のステップＳＰ２３に進むと、この図１２Ａ及び図１２Ｂに示すｋ値固定統計量強化処理を開始し、まず、プライバシ保護条件テーブル５６から予め設定されたｋ値の最小値Ｋminを取得する（ＳＰ５０）。

続いて、統計量強化匿名化データ選択処理部５２は、データ利用者４により設定されたｋ値の最大値Ｋmaxをデータ提供装置３２から取得し（ＳＰ５１）、さらに予め匿名化条件データベース５４（図２）に格納されているｋ−匿名化処理の試行回数の上限値Ｎmaxを匿名化処理部５１を介して取得する（ＳＰ５２）。

次いで、統計量強化匿名化データ選択処理部５２は、ｋ−匿名化処理の試行回数の上限値Ｎmaxと同じ個数の異なるｋ−匿名化パラメータをそれぞれ生成する（ＳＰ５３）。

このｋ−匿名化パラメータは、主としてｋ−匿名化対象項目及び削除レコード閾値の２つの組み合わせから構成される。このうちｋ−匿名化対象項目は、ｋ−匿名化の対象とすべき保護項目（図４参照）を指定するパラメータである。ｋ−匿名化の対象としない保護項目については、削除された上でｋ−匿名化処理が行われるため、データ利用者４には提供されない。図８について上述した統計量強化項目指定画面８０で指定された対象属性（データ項目）は必ずｋ−匿名化対象項目に含められる。

また削除レコード閾値は、ｋ−匿名化処理において、匿名化前データセット５５をｋ−匿名化処理する際に削除しても良い元データ数の上限値を指定するパラメータである。例えば、削除レコード閾値が「０」である場合、すべての元データがｋ−匿名性を満たすまでｋ−匿名化処理を実行する。これに対して、削除レコード閾値が「1000」である場合、ｋ−匿名化処理の過程でｋ−匿名性を満たさない元データ数が「1000」以下になった時点で、ｋ−匿名性を満たさない元データを削除した上でｋ−匿名化処理を終了する。

なおｋ−匿名化処理の試行回数の上限値Ｎmaxが「８」に設定され、保護項目が「年齢」、「性別」及び「住所」であり、統計量強化項目画面で指定されたデータ項目が「年齢」であった場合のｋ−匿名化パラメータ群の一例を図１３に示す。

続いて、統計量強化匿名化データ選択処理部５２は、ｋ−匿名化処理におけるｋ値の値をステップＳＰ５０で取得した最小値Ｋminとするよう匿名化処理部５１に設定すると共に、ｋ−匿名化処理の試行回数をカウントするための変数ｎの値を「１」に設定する（ＳＰ５４）。

この後、統計量強化匿名化データ選択処理部５２は、ステップＳＰ５３で生成したＮmax個のｋ−匿名化パラメータの中から未選択のｋ−匿名化パラメータを１つ選択し（ＳＰ５５）、選択したｋ−匿名化パラメータを利用したｋ−匿名化処理を実行するよう匿名化処理部５１に指示を与える（ＳＰ５６）。かくして、この指示に応じて、匿名化処理部５１において、対応する匿名化前データセット５５（図２）に対するｋ−匿名化処理が実行される。

そして統計量強化匿名化データ選択処理部５２は、このとき実行されたｋ−匿名化処理により作成された匿名化データセット６４のデータを一時的にハードディスク装置３５（図１）に格納する（ＳＰ５７）。

次いで、統計量強化匿名化データ選択処理部５２は、匿名化処理部５１に設定したｋ値の値がステップＳＰ５１で取得した最大値Ｋmax未満であるか否か、及び、変数ｎの値がステップＳＰ５２で取得した試行回数の上限値Ｎmax未満であるか否かを順次判断する（ＳＰ５８，ＳＰ５９）。

統計量強化匿名化データ選択処理部５２は、これらステップＳＰ５８及びステップＳＰ５９の判断で共に肯定結果を得ると、変数ｎの値を１増加させた後に（ＳＰ６０）、ステップＳＰ５５に戻り、この後、ステップＳＰ５５で選択するｋ−匿名化パラメータを順次未処理の他のｋ−匿名化パラメータに切り替えながら、ステップＳＰ５８又はステップＳＰ５９において否定結果を得るまでステップＳＰ５５〜ステップＳＰ６０の処理を繰り返す。

以上のステップＳＰ５５〜ステップＳＰ６０の繰返し処理により、ステップＳＰ５３で生成したＮmax個のｋ−匿名化パラメータのすべてについてｋ−匿名化処理が実行され、これらｋ−匿名化処理により得られた匿名化データセット６４がそれぞれハードディスク装置３５に格納されることになる。

そして統計量強化匿名化データ選択処理部５２は、やがてｋ−匿名化処理のｋ値がデータ利用者４が設定した最大値Ｋmaxに到達し、又は、ｋ−匿名化処理の試行回数（変数ｎの値）が上限値Ｎmaxに到達することによりステップＳＰ５８又はステップＳＰ５９で否定結果を得ると、データ利用者４が指定した匿名化データセット６４の元となる匿名化前データセット５５の当該データ利用者４が指定した対象統計量の値と、ステップＳＰ５５〜ステップＳＰ６０の繰返し処理により得られた各匿名化データセット６４の当該対象統計量の値との差異をそれぞれ算出する（ＳＰ６１）。

そして統計量強化匿名化データ選択処理部５２は、ステップＳＰ６１の算出結果に基づいて、ステップＳＰ５５〜ステップＳＰ６０の繰返し処理により得られた各匿名化データセット６４のうち、その対象統計量の値と、データ利用者４が指定した匿名化データセット６４の元となる匿名化前データセット５５の当該データ利用者４が指定した対象統計量の値との差異が最小の匿名化データセット６４を特定する（ＳＰ６２）。

続いて、統計量強化匿名化データ選択処理部５２は、ステップＳＰ６２で特定した匿名化データセット６４のデータ利用者４が指定した対象属性の当該データ利用者４が指定した対象統計量の値と、かかる匿名化前データセット５５の当該データ利用者４が指定した対象統計量の値との差異が、データ利用者４により設定された許容有意水準を満たすか否かを判断する（ＳＰ６３）。

そして統計量強化匿名化データ選択処理部５２は、この判断で肯定結果を得ると、ステップＳＰ６２で特定した匿名化データセット６４を、データ利用者４が設定した利用者要件を満たす匿名化データセット６４として、そのデータをデータ提供装置３２に出力し（ＳＰ６９）、この後、このｋ値固定統計量強化処理を終了する。

従って、この場合には、データ利用者４が指定した属性（対象属性）の当該データ利用者４が指定した統計量（対象統計量）の値が当該データ利用者４が指定した許容有意水準を満たす匿名化データセット６４のうち、対象属性の対象統計量の値が元の匿名化前データセット５５の対象統計量の値に最も近い匿名化データセット６４のデータがデータ提供装置３２に出力されることになる。そしてこの場合には、図７について上述したデータセット選択画面７０の匿名化データセット一覧７１（図７）に、この匿名化データセット６４の概要が追加表示される。

これに対して、統計量強化匿名化データ選択処理部５２は、ステップＳＰ６３の判断で否定結果を得ると、匿名化処理部５１に設定されているｋ−匿名化処理時のｋ値の値がステップＳＰ５１で取得したｋ値の最大値Ｋmaxであるか否かを判断する（ＳＰ６４）。

そして統計量強化匿名化データ選択処理部５２は、この判断で肯定結果を得ると、データ利用者４が指定した属性（対象属性）の当該データ利用者４が指定した統計量（対象統計量）の値が当該データ利用者４が設定した許容有意水準を満たさない旨の警告をデータ提供装置３２に通知する（ＳＰ６５）。

さらに統計量強化匿名化データ選択処理部５２は、そのとき設定されているｋ値でｋ−匿名化処理を実行することにより得られた匿名化データセット６４のうち、ステップＳＰ６２で特定した匿名化データセット６４のデータをデータ提供装置３２に出力し（ＳＰ６９）、この後、このｋ値固定統計量強化処理を終了する。

従って、この場合には、データ利用者４が指定した属性（対象属性）の当該データ利用者４が指定した統計量（対象統計量）の値が当該データ利用者４が指定した許容有意水準を満たさない匿名化データセット６４のうち、元の匿名化前データセット５５（図１）との関係において、対象属性の対象統計量値の差異が最も小さい匿名化データセット６４のデータがデータ提供装置３２に出力されることになる。そしてこの場合には、図７について上述したデータセット選択画面７０の匿名化データセット一覧７１（図７）に、この匿名化データセット６４の概要が追加表示されると共に、当該匿名化データセット６４が利用者要件を満たしていない旨の警告が当該匿名化データセット６４の概要と対応付けて表示される。

これに対して統計量強化匿名化データ選択処理部５２は、ステップＳＰ６４の判断で否定結果を得ると、ｋ値の値を１増加させてリトライするか否かをデータ利用者４に確認するための確認画面（図示せず）をクライアント端末４０に表示させるようデータ提供装置３２に要求する（ＳＰ６６）。

かくして、このときデータ提供装置３２は、所定の画面データを対応するクライアント端末４０に送信することにより、現在のｋ値では対象属性の対象統計量がデータ利用者４が指定した許容有意水準を満たす匿名化データセット６４を作成できない旨の警告が表示された上述の確認画面をそのクライアント端末４０に表示させる。またデータ提供装置３２は、クライアント端末４０から送信される、この確認画面を利用してデータ利用者４が指定したリトライするか否かの回答をデータ準備装置３１に転送する。

そして統計量強化匿名化データ選択処理部５２は、データ提供装置３２から転送されるかかる回答に基づいて、リトライすることをデータ利用者が選択したか否かを判断する（ＳＰ６７）。そして統計量強化匿名化データ選択処理部５２は、この判断で肯定結果を得ると、ｋ値の値を１増加させた後（ＳＰ６８）、ステップＳＰ５５に戻る。そして統計量強化匿名化データ選択処理部５２は、この後、ステップＳＰ５５以降を上述と同様に処理する。

これに対して、統計量強化匿名化データ選択処理部５２は、ステップＳＰ６７の判断で否定結果を得ると、データ利用者４が指定した属性（対象属性）の当該データ利用者４が指定した統計量（対象統計量）の値が当該データ利用者４が設定した許容有意水準を満たさない旨の警告をデータ提供装置３２に通知する（ＳＰ６５）。

さらに統計量強化匿名化データ選択処理部５２は、そのとき設定されているｋ値でｋ−匿名化処理を実行することにより得られた匿名化データセット６４のうち、ステップＳＰ６２で特定した匿名化データセット６４のデータをデータ提供装置３２に出力し（ＳＰ６９）、この後、このｋ値固定統計量強化処理を終了する。

従って、この場合には、データ利用者４が指定した属性（対象属性）の当該データ利用者４が指定した統計量（対象統計量）の値が当該データ利用者４が指定した許容有意水準を満たさない匿名化データセット６４のうち、元の匿名化前データセット５５（図１）との関係において、対象属性の対象統計量値の差異が最も小さい匿名化データセット６４のデータがデータ提供装置３２に出力されることになる。そしてこの場合には、図７について上述したデータセット選択画面７０の匿名化データセット一覧７１（図７）に、この匿名化データセット６４の概要が追加表示される。

（５）本実施の形態の効果
以上のように本実施の形態の情報処理システム１では、匿名化前データセット５５に対してｋ値又は匿名化パラメータを順次変えながら複数回のｋ−匿名化処理を実行し、かくして得られた匿名化データセット６４の中からデータ利用者４により予め設定された利用者要件を満たす匿名化データセット６４を選択的にそのデータ利用者４に提供するため、データ利用者４のニーズに合致した匿名化データセット６４をデータ利用者４に提供することができる。

（６）他の実施の形態
なお上述の実施の形態においては、データ収集・管理・提供者３の匿名化データ提供システム３０をデータ準備装置３１及びデータ提供装置３２の２つの装置により構成するようにした場合について述べたが、本発明はこれに限らず、データ準備装置３１及びデータ提供装置３２の各機能を１つの情報処理装置に搭載し、匿名化データ提供システム３０を１つの情報処理装置により構成するようにしても良い。

また上述の実施の形態においては、本発明をヘルスケアデータを匿名化処理してデータ利用者４に提供する情報処理システム１に適用するようにした場合について述べたが、本発明はこれに限らず、ヘルスケアデータ以外のデータを匿名化処理してデータ利用者４に提供するこの他種々の情報処理システムに広く適用することができる。

本発明は、プライバシに関する情報を匿名化又は曖昧化した上でデータを提供する情報処理システムに広く適用することができる。

１……情報処理システム、２……元データ提供者、３……データ収集・管理・提供者、４……データ利用者、２０……情報処理装置、３０……匿名化データ提供システム、３１……データ準備装置、３２……データ提供装置、３３，３６……ＣＰＵ、３４，３７……メモリ、３５，３８……ハードディスク装置、４０……クライアント端末、５１……匿名化処理部、５２……統計量強化匿名化データ選択処理部、５３……元データデータベース、５４……匿名化条件データベース、５５……匿名化前データセット、５６……プライバシ保護条件テーブル、６０……匿名化データベース、６１……データカタログ、６２……利用条件情報、６３……データ提供部、６４……匿名化データセット、６５……利用者要件テーブル、７０……データカタログ選択画面、８０……統計量強化項目指定画面。

Claims (12)

1. 元データを匿名化処理してデータ利用者に提供する匿名化データ提供装置において、
   前記元データのデータセットに対して前記匿名化処理を実行する匿名化処理部と、
   前記匿名化処理部を制御する匿名化データ選択処理部と、
   匿名化された前記データセットを匿名化データセットとして管理し、前記データ利用者からの要求に応じて、前記匿名化データセットを当該データ利用者に提供するデータ提供部と
   を備え、
   前記データ利用者は、
   所望する前記データセットを選択すると共に、当該データセットについての所望する属性の所望する統計量の許容有意水準を利用者要件として設定し、
   前記匿名化データ選択処理部は、
   前記データ利用者により選択された前記データセットに対して複数回の前記匿名化処理を実行するよう前記匿名化処理部を制御し、
   複数回の前記匿名化処理により得られた複数個の前記匿名化データセットについて、前記データ利用者により設定された前記統計量をそれぞれ算出し、
   算出した各前記匿名化データセットの前記統計量と、前記元データの前記データセットの当該統計量とをそれぞれ比較し、当該統計量の差異が前記データ利用者が設定した前記許容有意水準を満たす前記匿名化データセットを前記利用者要件を満たす前記匿名化データセットとして選択し、
   前記データ提供部は、
   前記匿名化データ選択処理部により選択された前記匿名化データセットを前記データ利用者に提供する
   ことを特徴とする匿名化データ提供装置。
2. 前記データ提供部は、
   前記データ利用者が選択した前記データセットについて当該データ利用者が所望する前記属性、前記統計量及び前記許容有意水準を設定するための画面を当該データ利用者に提示し、
   当該画面を用いて前記データ利用者により設定された当該データセットについての前記属性、前記統計量及び前記許容有意水準を前記匿名化データ選択処理部に通知する
   ことを特徴とする請求項１に記載の匿名化データ提供装置。
3. 前記匿名化処理部は、
   前記匿名化処理としてｋ−匿名化処理を実行し、
   前記匿名化データ選択処理部は、
   前記ｋ−匿名化処理におけるｋ値を順次変えながら前記データセットに対する前記ｋ−匿名化処理を複数回実行するよう前記匿名化処理部を制御する
   ことを特徴とする請求項１に記載の匿名化データ提供装置。
4. 前記匿名化データ選択処理部は、
   複数回の前記ｋ−匿名化処理により得られた複数個の前記匿名化データセットの中から、前記利用者要件を満たし、かつｋ値の値が最も大きい前記匿名化データセットを選択する
   ことを特徴とする請求項３に記載の匿名化データ提供装置。
5. 前記匿名化処理部は、
   ｋ−匿名化処理により前記元データの前記データセットを匿名化し、
   前記匿名化データ選択処理部は、
   前記ｋ−匿名化処理時におけるパラメータを順次変えながら前記データセットに対する前記ｋ−匿名化処理を複数回実行するよう前記匿名化処理部を制御する
   ことを特徴とする請求項１に記載の匿名化データ提供装置。
6. 前記匿名化データ選択処理部は、
   複数回の前記ｋ−匿名化処理により得られた複数個の前記匿名化データセットの中から、前記利用者要件を満たし、かつ前記データ利用者により設定された前記統計量について、前記元データの前記データセットの当該統計量との差異が最小の前記匿名化データセットを選択する
   ことを特徴とする請求項５に記載の匿名化データ提供装置。
7. 元データを匿名化処理してデータ利用者に提供する匿名化データ提供装置において実行される匿名化データ提供方法において、
   前記匿名化データ提供装置は、
   前記元データのデータセットに対して前記匿名化処理を実行する匿名化処理部と、
   前記匿名化処理部を制御する匿名化データ選択処理部と、
   匿名化された前記データセットを匿名化データセットとして管理し、前記データ利用者からの要求に応じて、前記匿名化データセットを当該データ利用者に提供するデータ提供部と
   を有し、
   前記データ利用者は、
   所望する前記データセットを選択すると共に、当該データセットについての所望する属性の所望する統計量の許容有意水準を利用者要件として設定し、
   前記匿名化データ選択処理部が、前記データ利用者により選択された前記データセットに対して複数回の前記匿名化処理を実行するよう前記匿名化処理部を制御する第１のステップと、
   前記匿名化データ選択処理部が、複数回の前記匿名化処理により得られた複数個の前記匿名化データセットについて、前記データ利用者により設定された前記統計量をそれぞれ算出する第２のステップと、
   前記匿名化データ選択処理部が、算出した各前記匿名化データセットの前記統計量と、前記元データの前記データセットの当該統計量とをそれぞれ比較し、当該統計量の差異が前記データ利用者が設定した前記許容有意水準を満たす前記匿名化データセットを前記利用者要件を満たす前記匿名化データセットとして選択する第３のステップと、
   前記データ提供部が、前記匿名化データ選択処理部により選択された前記匿名化データセットを前記データ利用者に提供する第４のステップと
   を備えることを特徴とする匿名化データ提供方法。
8. 前記データ提供部は、
   前記データ利用者が選択した前記データセットについて当該データ利用者が所望する前記属性、前記統計量及び前記許容有意水準を設定するための画面を当該データ利用者に提示し、
   当該画面を用いて前記データ利用者により設定された当該データセットについての前記属性、前記統計量及び前記許容有意水準を前記匿名化データ選択処理部に通知する
   ことを特徴とする請求項７に記載の匿名化データ提供方法。
9. 前記匿名化処理部は、
   前記匿名化処理としてｋ−匿名化処理を実行し、
   前記第１のステップにおいて、前記匿名化データ選択処理部は、
   前記ｋ−匿名化処理におけるｋ値を順次変えながら前記データセットに対する前記ｋ−匿名化処理を複数回実行するよう前記匿名化処理部を制御する
   ことを特徴とする請求項７に記載の匿名化データ提供方法。
10. 前記第３のステップにおいて、前記匿名化データ選択処理部は、
    複数回の前記ｋ−匿名化処理により得られた複数個の前記匿名化データセットの中から、前記利用者要件を満たし、かつｋ値の値が最も大きい前記匿名化データセットを選択する
    ことを特徴とする請求項９に記載の匿名化データ提供方法。
11. 前記匿名化処理部は、
    ｋ−匿名化処理により前記元データの前記データセットを匿名化し、
    前記第１のステップにおいて、前記匿名化データ選択処理部は、
    前記ｋ−匿名化処理時におけるパラメータを順次変えながら前記データセットに対する前記ｋ−匿名化処理を複数回実行するよう前記匿名化処理部を制御する
    ことを特徴とする請求項７に記載の匿名化データ提供方法。
12. 前記第３のステップにおいて、前記匿名化データ選択処理部は、
    複数回の前記ｋ−匿名化処理により得られた複数個の前記匿名化データセットの中から、前記利用者要件を満たし、かつ前記データ利用者により設定された前記統計量について、前記元データの前記データセットの当該統計量との差異が最小の前記匿名化データセットを選択する
    ことを特徴とする請求項１１に記載の匿名化データ提供方法。

Images