JP6264656B2 - 匿名化システム、発行装置及びプログラム - Google Patents

Description

本発明は、個人情報を含むデータを匿名化して提供する匿名化システム、発行装置、及び、発行装置において実行されるプログラムに関する。

ビッグデータ等、情報を扱う場合には、プライバシ情報が利用される。プライバシ情報が利用される場合には、個人が特定されることがないように、情報について匿名化が行われる。例えば、データベースに登録されている複数の顧客データに対して、各顧客が特定できないように匿名化して、出力するシステムが提案されている。また、そのシステムは、匿名化された結果が過度に匿名化されていないか判断している（特許文献１参照）。

特開２０１３−１９０８３８号公報

しかしながら、特許文献１には、情報の損失度に関しての記載しかなく、匿名化されたデータを利用するインフラについては記載されていない。
このように、従来では、匿名化（一般化）手法については提案されているが、情報の提供、匿名化、及び、匿名化されたデータの提供という、インフラとして運営することができていない。
また、従来では、１の情報に基づいて複数回匿名化する場合には、匿名性が喪失する可能性があった。

本発明は、匿名化されたデータを提供することができる匿名化システムを提供することを目的とする。
また、本発明は、データを匿名化する発行装置、及び、発行装置において実行されるプログラムを提供することを目的とする。

本発明の匿名化システムは、所定の情報が記録されたデータと、当該データに対応し、前記データを匿名化する場合の条件となる提供ルールとを受け付けて、前記データを記憶すると共に、前記提供ルールを提供する提供データ管理部と、前記提供データ管理部によって提供された前記提供ルールを記憶する提供ルール管理部と、匿名化したデータである匿名化データについての発行要求があった場合に、前記発行要求が前記提供ルール管理部に記憶される提供ルールに則っていると、前記提供ルールに対応するデータを前記提供データ管理部から取得し、取得した前記データを匿名化して匿名化データを発行し、当該匿名化データを提供する発行部と、を備える。

前記発行部は、前記発行要求を受け付ける要求受付部と、前記要求受付部によって受け付けた前記発行要求に対応し、前記データを匿名化する場合に利用される要求ルールと、前記提供ルール管理部に記憶される前記提供ルールとが対応するかを判定する判定部と、前記判定部により対応すると判定された場合に、前記提供ルールに対応するデータを前記提供データ管理部から取得する取得部と、前記取得部によって取得されたデータを前記要求ルールに基づいて匿名化して、前記匿名化データを発行する匿名化部と、前記匿名化部によって発行された前記匿名化データを提供する提供部と、を備えることが好ましい。

前記匿名化部は、前記取得部によって取得した前記データに基づいて、所定数のデータを含むクラスタを複数作成し、前記複数のクラスタのそれぞれについてガウス分布を作成し、作成した各ガウス分布を足し合わせて、面積が１になるようにスケールを変換する、ことにより、匿名化データを発行することが好ましい。

匿名化システムは、前記発行部によって発行された前記匿名化データを記憶する発行済データ管理部を備えることが好ましい。この場合、前記発行部は、前記発行済データ管理部に記憶される前記匿名化データを読み出し、当該匿名化データをさらに匿名化して、二次匿名化データを発行する。

本発明の発行装置は、データ利用者の端末から発行要求を受け付ける要求受付部と、前記要求受付部によって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと、データ提供者から提供され、前記データを匿名化する場合の条件となる提供ルールとが対応するかを判定する判定部と、前記判定部により対応すると判定された場合に、前記提供ルールに対応するデータを取得する取得部と、前記取得部によって取得されたデータを前記要求ルールに基づいて匿名化して、匿名化データを発行する匿名化部と、前記匿名化部によって発行された前記匿名化データをデータ利用者の端末に提供する提供部と、を備える。

本発明の発行装置は、データ利用者の端末から発行要求を受け付ける要求受付部と、前記要求受付部によって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと同等の基準で既に匿名化されている匿名化データ、又は、前記要求ルールよりも緩和された基準で既に匿名化されている匿名化データを発行済データ管理部から取得する取得部と、前記取得部によって取得された、前記要求ルールよりも緩和された基準で既に匿名化されている匿名化データを、前記要求ルールに基づいてさらに匿名化して、二次匿名化データを発行する匿名化部と、前記匿名化部によって発行された二次匿名化データをデータ利用者の端末に提供し、又は、前記取得部によって取得された、前記要求ルールと同等の基準で既に匿名化されている匿名化データを二次匿名化データとしてデータ利用者の端末に提供する提供部と、を備える。

本発明のプログラムは、コンピュータにおいて実行される。そのプログラムは、データ利用者の端末から発行要求を受け付ける要求受付ステップと、前記要求受付ステップによって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと、データ提供者から提供され、前記データを匿名化する場合の条件となる提供ルールとが対応するかを判定する判定ステップと、前記判定ステップにより対応すると判定された場合に、前記提供ルールに対応するデータを取得する取得ステップと、前記取得ステップによって取得されたデータを前記要求ルールに基づいて匿名化して、匿名化データを発行する匿名化ステップと、前記匿名化ステップによって発行された前記匿名化データをデータ利用者の端末に提供する提供ステップと、を実行する。

本発明のプログラムは、コンピュータにおいて実行されるプログラムであって、データ利用者の端末から発行要求を受け付ける要求受付ステップと、前記要求受付ステップによって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと同等の基準で既に匿名化されている匿名化データ、又は、前記要求ルールよりも緩和された基準で既に匿名化されている匿名化データを発行済データ管理部から取得する取得ステップと、前記取得ステップによって取得された、前記要求ルールよりも緩和された基準で既に匿名化されている匿名化データを、前記要求ルールに基づいてさらに匿名化して、二次匿名化データを発行する匿名化ステップと、前記匿名化ステップによって発行された二次匿名化データをデータ利用者の端末に提供し、又は、前記取得ステップによって取得された、前記要求ルールと同等の基準で既に匿名化されている匿名化データを二次匿名化データとしてデータ利用者の端末に提供する提供ステップと、を実行する。

本発明によれば、匿名化されたデータを提供することができる匿名化システムを提供することができる。
また、本発明によれば、データを匿名化する発行装置、及び、発行装置において実行されるプログラムを提供することができる。

一実施形態に係る匿名化システムを説明するためのブロック図である。 提供データ管理部の一例について説明するためのブロック図である。 提供ルール管理部の一例について説明するためのブロック図である。 発行部の一例について説明するためのブロック図である。 匿名化部による匿名化の処理の一例について説明するための図である。 匿名化部の詳細な処理の流れの一例について説明するためのフローチャートである。 第４提供部によって提供される匿名化データの一例について説明するための図である。 発行済データ管理部の一例について説明するためのブロック図である。

以下、本発明の一実施形態について説明する。実施形態では、匿名化されたデータ（匿名化データ）を提供する一例として、電力使用量の匿名化データを提供することを挙げて説明する。
図１は、一実施形態に係る匿名化システム１を説明するためのブロック図である。

匿名化システム１は、複数のスマートメータ１０と、提供データ管理部１００と、提供ルール管理部２００と、発行部３００と、発行済データ管理部４００とを備える。複数のスマートメータ１０と、提供データ管理部１００と、提供ルール管理部２００と、発行部３００と、発行済データ管理部４００とは、ネットワークＮＷに接続される。

スマートメータ１０は、匿名化の対象となるデータ（情報）の入力部となる。スマートメータ１０は、各家庭に配される。スマートメータ１０は、家庭の電力を計測し、計測の結果であるデータ（電力データ）を提供データ管理部１００に送信する。また、スマートメータ１０は、電力の計測結果である電力データが発行部３００によって匿名化される場合に利用される、匿名化のルール（提供ルール）を提供データ管理部１００に送信する。スマートメータ１０から送信されるデータと提供ルールとは、対応付けられている。なお、スマートメータ１０又はスマートメータ１０が配された家庭が、データ提供者となる。

提供ルールは、最低限の匿名化を設定するものである。すなわち、提供ルールは、匿名化の条件である。提供ルールは、スマートメータ１０毎（家庭毎）に予め設定されている。また、提供ルールは、変更可能である。本実施形態では、データをｋ−ｍｅｍｂｅｒ ｃｌｕｓｔｅｒｉｎｇ及びガウス分布を利用して匿名化を行う例について説明するため、提供ルールは、例えば、ｋの値、及び、ガウス分布を求める場合に利用されるデータの幅に対して乗算される係数αの値となる。

提供データ管理部１００は、例えば、サーバである。提供データ管理部１００は、データ（電力データ）及び提供ルールを受け付けて、データを記憶する。提供データ管理部１００は、受け付けた提供ルールを提供ルール管理部２００に提供する。データは、所定の情報が記録されたデータである。本実施形態では、所定の情報とは、スマートメータ１０によって計測される電力のことである。

図２は、提供データ管理部１００の一例について説明するためのブロック図である。具体的な一例としては、提供データ管理部１００は、第１受付部１０１と、第１記憶部１０２と、第１提供部１０３と、第２提供部１０４とを備える。
第１受付部１０１は、データ及び提供ルールを受け付ける。すなわち、第１受付部１０１は、スマートメータ１０によって送信された、電力の測定結果である電力データと、匿名化の提供ルールとを受け付ける。

第１記憶部１０２は、第１受付部１０１によって受け付けられたデータを記憶する。すなわち、第１受付部１０１によってデータと提供ルールとが受け付けられた場合、第１記憶部１０２は、第１受付部１０１から提供されたデータを記憶する。

第１提供部１０３は、データに関連付けて、第１受付部１０１によって受け付けられた提供ルールを提供ルール管理部２００に提供する。すなわち、第１受付部１０１によってデータと提供ルールとが受け付けられた場合、第１提供部１０３は、その提供ルールを提供ルール管理部２００に提供する。提供ルールを提供ルール管理部２００に提供する場合、第１提供部１０３は、第１記憶部１０２に記憶されたデータと、提供ルールとを対応付けておく。

第２提供部１０４は、発行部３００からデータの要求があった場合に、第１記憶部１０２に記憶されるデータを発行部３００に提供する。すなわち、第２提供部１０４は、発行部３００からデータの要求があった場合、その要求としての要求ルールに対応するデータを第１記憶部１０２から読み出して、発行部３００に提供する。

提供ルール管理部２００は、例えば、サーバである。提供ルール管理部２００は、提供データ管理部１００によって提供された提供ルールを記憶する。
図３は、提供ルール管理部２００の一例について説明するためのブロック図である。具体的な一例としては、提供ルール管理部２００は、第２受付部２０１と、第２記憶部２０２と、第３提供部２０３と、を備える。

第２受付部２０１は、提供データ管理部１００（第２提供部１０４）から提供された提供ルールを受け付ける。
第２記憶部２０２は、第２受付部２０１によって受け付けられた提供ルールを記憶する。第１提供部１０３においてデータと提供ルールとが対応付けられているために、第２記憶部２０２に記憶される提供ルールは、第１記憶部１０２に記憶されるデータと対応付けられている。

第３提供部２０３は、第２記憶部２０２に記憶される提供ルールを提供する。第３提供部２０３は、データ利用者の端末から求めが有った場合に、第２記憶部２０２に記憶される提供ルールをデータ利用者の端末に提供する。データ利用者とは、第１記憶部１０２に記憶されるデータが匿名化されることにより発行される匿名化データについて利用を希望する者である。これにより、データ利用者は、どのような提供ルールに基づいて匿名化される匿名化データを利用できるのか、判断することが可能になる。

発行部３００は、例えば、サーバ（コンピュータ）である。発行部３００は、匿名化データについての発行要求があった場合に、発行要求が提供ルール管理部２００に記憶される提供ルールに則っていると、提供ルールに対応するデータを提供データ管理部１００から取得する。発行部３００は、取得したデータを匿名化して匿名化データを発行し、匿名化データを提供する。発行部３００は、本発明の「発行装置」の一実施形態に対応する。

図４は、発行部３００の一例について説明するためのブロック図である。具体的な一例としては、発行部３００は、要求受付部３０１と、判定部３０２と、取得部３０３と、匿名化部３０４と、第４提供部３０５と、を備える。

要求受付部３０１は、データ利用者の端末から、匿名化データの発行要求を受け付ける。すなわち、データ利用者は、第３提供部２０３から提供された提供ルールを参照することにより、必要とする匿名化データについて検討する。第３提供部２０３から提供される提供ルールは、最低限の匿名化の条件が規定されたものである。このため、データ利用者は、その提供ルールに基づいて最低限に匿名化された匿名化データを利用するのか、第３提供部２０３から提供された提供ルールよりもさらに匿名化する提供ルールに基づいて得られる匿名化データを利用するのか検討する。データ利用者の端末は、検討の結果、必要とする匿名化データを取得するための要求ルールを作成する。要求ルールは、例えば、ｋの値及び係数αの値を規定する。データ利用者の端末によって作成された発行要求（要求ルール）は、要求受付部３０１によって受け付けられる。

なお、第２記憶部２０２に記憶される提供ルールに規定されるｋの値及び係数αの値（基準値）に対して、要求ルールにおけるｋの値及び係数αの値それぞれを大きくした場合には、後述する匿名化部３０４において得られるガウス分布（存在確率）は、基準値のときに得られるガウス分布（存在確率）よりも裾が広がる。すなわち、要求ルールにおけるｋの値及び係数αの値それぞれが基準値よりも大きくなると、匿名性が向上する。

判定部３０２は、要求ルールと、提供ルールとが対応するかを判定する。要求ルールは、要求受付部３０１によって受け付けた発行要求に対応し、データを匿名化する場合に利用される。提供ルールは、データ提供者から提供され（第２記憶部２０２に記憶され）、データを匿名化する場合の条件となる。判定部３０２は、要求ルールが第２記憶部２０２に記憶された提供ルールに則るものであるか、判定する。すなわち、判定部３０２は、要求ルールと、第２記憶部２０２に記憶された提供ルールとを照らし合わせ、要求ルールが提供ルールと同等の基準で匿名化を求めるものであるのか、又は、要求ルールが提供ルールよりも匿名性の高い基準で匿名化を求めるものであるのかを判定する。

取得部３０３は、判定部３０２により対応していると判定された場合に、提供ルール（要求ルール）に対応するデータを提供データ管理部１００から取得する。すなわち、取得部３０３は、判定部３０２によって要求ルールが提供ルールに則っていると判定された場合には、データ利用者の端末が要求する匿名化データを発行するために、データ利用者の端末の要求としての要求ルール（提供ルール）に対応するデータを第１記憶部１０２から取得する。

匿名化部３０４は、判定部３０２によって要求ルールが提供ルールに則っていると判定された場合に取得部３０３によって取得されたデータを匿名化する。匿名化部３０４は、次の第１〜３手順を順に実行することにより、データを匿名化する。

まず、第１手順として、匿名化部３０４は、提供データ管理部１００から取得したデータに基づいて、所定数のデータを含むクラスタを複数作成する。データの所定数は、要求ルールに規定されるｋの値に基づく。すなわち、匿名化部３０４は、各クラスタにｋ個のデータが含まれるようにクラスタリングする。なお、第１手順を行う匿名化部３０４の要素をクラスタ作成部ということが可能である。

次に、第２手順として、匿名化部３０４は、複数のクラスタのそれぞれについてガウス分布を作成する。すなわち、匿名化部３０４は、各クラスタについてガウス分布を作成するために、クラスタに含まれるデータの最大値及び最小値から幅（Ｗｉｄｔｈ）を求める。匿名化部３０４は、求めた幅（Ｗｉｄｔｈ）に対して、要求ルールに規定される係数αを乗算することに基づいて、ガウス分布の標準偏差σ^２を求める。すなわち、標準偏差は、σ^２＝（α・Ｗｉｄｔｈ）^２から求められる。匿名化部３０４は、下式（１）に基づいて、ガウス分布を作成する。なお、第２手順を行う匿名化部３０４の要素をガウス分布作成部ということが可能である。

ここで、ｎはクラスタの数、μはクラスタに含まれるデータの平均値である。

次に、第３手順として、匿名化部３０４は、作成した各ガウス分布を足し合わせて、面積が１になるようにスケールを変換する。図５は、匿名化部３０４による匿名化の処理の一例について説明するための図である。図５に一例を示すように、匿名化部３０４は、第１，２手順を行うことにより、クラスタＡ１についてガウス分布Ａ２を得ると共に、クラスタＢ１についてガウス分布Ｂ２を得る。匿名化部３０４は、第３手順として、ガウス分布Ａ２とガウス分布Ｂ２とを足し合わせると共に、足し合わせたガウス分布の面積が１になるようにスケールを変換して、存在確率Ｃを取得する。なお、第３手順を行う匿名化部３０４の要素をスケール変換部ということが可能である。

次に、匿名化部３０４の詳細な処理の流れについて説明する。図６は、匿名化部３０４の詳細な処理の流れの一例について説明するためのフローチャートである。

ステップＳＴ１において、匿名化部３０４は、取得部３０３により取得した複数のデータの中から、クラスタの初期点をランダムに選択する。

ステップＳＴ２において、匿名化部３０４は、ステップＳＴ１にて選択した初期点から最も近似度が低い点を新しいクラスタの初期点とする。

ステップＳＴ３において、匿名化部３０４は、ステップＳＴ１，２にて選択した初期点に対して近似度が高いデータをクラスタに含ませる。

ステップＳＴ４において、匿名化部３０４は、ステップＳＴ３にてクラスタに含ませたデータの数がｋ個になったか否かを判断する。データ数がｋ個になっていない場合（ＮＯ）には、匿名化部３０４は、処理をステップＳＴ３に戻す。データ数がｋ個になっている場合（ＹＥＳ）には、匿名化部３０４は、処理をステップＳＴ５に進ませる。

ステップＳＴ５において、匿名化部３０４は、残りのデータが（ｋ−１）個以下になったか否かを判断する。残りのデータが（ｋ−１）個以下になっていない場合（ＮＯ）には、匿名化部３０４は、処理をステップＳＴ２に戻す。残りのデータが（ｋ−１）個以下になっている場合（ＹＥＳ）には、匿名化部３０４は、処理をステップＳＴ６に進める。

ステップＳＴ６において、匿名化部３０４は、クラスタに含まれていないデータを、既存のクラスタに分配する。これにより、全てのデータは、クラスタに含まれることになる。

ステップＳＴ７において、匿名化部３０４は、各クラスタについてガウス分布を求めることにより、存在確率に変換する。

ステップＳＴ８において、匿名化部３０４は、各ガウス分布を足し合わせると共に、足し合わせたガウス分布の面積が１になるようにスケールを調整する。

ステップＳＴ９において、匿名化部３０４は、スケールを調整した後の存在確率を匿名化データとして発行する。

第４提供部３０５は、匿名化部３０４によって匿名化された匿名化データをデータ利用者の端末に提供する。第４提供部３０５は、本発明の「提供部」の一実施形態に対応する。また、第４提供部３０５は、匿名化データを発行済データ管理部４００に提供する。

図７は、第４提供部３０５によって提供される匿名化データの一例について説明するための図である。図７は、５０軒の家庭の電力使用量から匿名化データを発行したものである。データ利用者の端末は、図７に一例を示す匿名化データを第４提供部３０５から提供される。データ利用者の端末は、例えば、電力使用量に基づいて匿名化データを４グループに分け、グループ毎に異なる電力の削減量を設定する。設定は、例えば、２５０Ｗｈ以下の家庭は７５Ｗｈの削減、２５１〜３９０Ｗｈの家庭は１５０Ｗｈの削減、３９１〜５３０Ｗｈの家庭は２２５Ｗｈの削減、５３１Ｗｈ以上の家庭は２５７Ｗｈの削減、というものである。そして、データ利用者の端末は、匿名化データと上記の設定とを各家庭に配布し、各家庭の電力使用量に応じて電力を削減するよう各家庭に対し促す。

なお、発行部３００（例えば、匿名化部３０４）は、匿名化データに対して、匿名化データの基礎となる情報はどのデータ提供者（例えば、ＩＤ等）か、どのような匿名化手法により匿名化を行ったか、誰が加工して（発行人ＩＤ等）、どのような正しさ（ハッシュキー）か、という情報を記録させることが可能である。その情報は、公知の電子透かし技術と同様に記録することが可能である。
すなわち、電力データを匿名化する場合、同じ強度で匿名化するときでも、匿名化する項目は複数ある、すなわち、複数の一般化の方法がある。これを体系化すれば、狙ったコードを記録することが可能である。例えば、提供ルールが２匿名化であり、要求ルールが３匿名化である場合には、まず、発行部は、電力データに基づいて、２匿名化データを作成する。次に、発行部は、２匿名化データに基づいて、３匿名化データを作成する。２匿名化データから３匿名化データを作成する場合には、匿名化する項目は、複数ある。この中で、ｋ匿名化ならばｋのグループを作成するが、一例として、単純に１番目の項目から順にグループを作成した場合を０（ゼロ）とし、最後の１つを不連続に、その次に出てくるデータから作った場合を１とすれば、匿名化データに０，１情報を埋め込むことができる。このような例示のように、匿名化データに０，１情報を埋め込むことにより、透かし情報として、単純な匿名化情報だけではない、メタ情報を埋め込むことができる。

発行済データ管理部４００は、例えば、サーバである。発行済データ管理部４００は、発行部３００によって発行された匿名化データを記憶する。
図８は、発行済データ管理部４００の一例について説明するためのブロック図である。具体的な一例としては、発行済データ管理部４００は、第３受付部４０１と、第３記憶部４０２と、第５提供部４０３と、を備える。
第３受付部４０１は、第４提供部３０５によって提供された匿名化データを受け付ける。
第３記憶部４０２は、第３受付部４０１によって受け付けた匿名化データを記憶する。
第５提供部４０３は、発行部３００からの求めがあった場合に、第３記憶部４０２に記憶される匿名化データを読み出して、発行部３００に提供する。

ここで、発行部３００は、発行済データ管理部４００に記憶される匿名化データを読み出して、その匿名化データをさらに匿名化して、二次匿名化データを発行する。

この場合、発行部３００では、例えば、次の動作が行われる。すなわち、要求受付部３０１は、二次匿名化データの要求を受け付ける。判定部３０２によって要求ルールが提供ルールに則っていると判定された場合に、取得部３０３は、ルールに対応する匿名化データの読み出しを発行済データ管理部４００に対して要求し、第５提供部４０３から提供された匿名化データを取得する。匿名化部３０４は、匿名化データと、要求ルールとに基づいて、二次匿名化データを発行する。第４提供部３０５は、二次匿名化データをデータ利用者の端末に提供する。

又は、上記とは異なり、発行部３００では、例えば、次の動作が行われてもよい。すなわち、要求受付部３０１は、データ利用者の端末から発行要求を受け付ける。取得部３０３は、要求受付部３０１によって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと同等の基準で既に匿名化されている匿名化データを発行済データ管理部４００から取得する。又は、取得部３０３は、要求ルールよりも緩和された基準で既に匿名化されている匿名化データを発行済データ管理部４００から取得する。なお、取得部３０３は、要求ルールと同等の基準で匿名化された匿名化データと、要求ルールよりも緩和された基準で匿名化された匿名化データとが共に発行済データ管理部４００に記憶されている場合には、要求ルールと同等の基準で匿名化された匿名化データを優先的に取得することが好ましい。このような優先的な取得を行うことにより、匿名化部３０４の処理の負担が軽減される。匿名化部３０４は、取得部３０３によって取得された、要求ルールよりも緩和された基準で既に匿名化されている匿名化データを、要求ルールに基づいてさらに匿名化して、二次匿名化データを発行する。第４提供部３０５は、匿名化部３０４によって発行された二次匿名化データを、データ利用者の端末に提供する。又は、第４提供部３０５は、取得部３０３によって取得された、要求ルールと同等の基準で既に匿名化されている匿名化データを二次匿名化データとして、データ利用者の端末に提供する。

次に、匿名化システム１の処理の流れについて説明する。
（電力データの提供時）
まず、スマートメータ１０が提供ルール及び電力データを提供する場合について説明する。
スマートメータ１０は、各家庭の電力を計測する。スマートメータ１０は、提供ルール及び電力データを提供データ管理部１００に提供する。提供データ管理部１００は、スマートメータ１０から受け付けた電力データを記憶する。提供データ管理部１００は、スマートメータ１０から受け付けた提供ルールを提供ルール管理部２００に提供する。提供ルール管理部２００は、提供ルールを記憶する。

（匿名化データの発行時）
次に、匿名化データを発行する場合について説明する。
提供ルール管理部２００は、データ利用者の端末から対象となるデータについて提供ルールの取得要求があると、対応する提供ルールをデータ利用者の端末に提供する。発行部３００は、データ利用者の端末から要求ルールを指定して対象となる電力データ（特定地域の家庭の電力データ群）の発行要求があると、提供ルール管理部２００に記憶されている提供ルールと要求ルールとの照合を行う。照合の結果、要求ルールが提供ルールに則っている場合、発行部３００は、発行済データ管理部４００に対象となる電力データの匿名化データが記憶されているか否かを確認する。

発行済データ管理部４００に対象となる電力データの匿名化データが記憶されていない場合、発行部３００は、提供データ管理部１００から電力データを取得し、要求ルールに従って、電力データを匿名化する。そして、発行部３００は、匿名化した電力データ（匿名化データ）を発行済データ管理部４００に提供すると共に、データ利用者の端末に提供する。

一方、発行済データ管理部４００に対象となる電力データの匿名化データが記憶されている場合、発行部３００は、記憶されている匿名化データが要求ルールに則っているものか否かを確認する。発行済データ管理部４００に記憶されている匿名化データが要求ルールに則っている場合、発行部３００は、その匿名化データをデータ利用者の端末に提供する。一方、発行済データ管理部４００に記憶されている匿名化データが要求ルールに則っていない場合、発行部３００は、発行済データ管理部４００に記憶されている匿名化データをさらに匿名化して二次匿名化データを発行する。発行済データ管理部４００に記憶されている匿名化データを確認し、この匿名化データを基に二次匿名化データを発行することで、複数発行された匿名化データから提供ルールが緩和されたデータが推定される事態を防ぐことができる。そして、発行部３００は、二次匿名化データを発行済データ管理部４００に提供すると共に、データ利用者の端末に提供する。

なお、発行部３００は、次のような、要求受付ステップ、判定ステップ、取得ステップ、匿名化ステップ及び提供ステップを実行するプログラムを備えていてもよい。
要求受付ステップは、データ利用者から発行要求を受け付ける。
判定ステップは、要求受付ステップによって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと、データ提供者から提供され、データを匿名化する場合の条件となる提供ルールとが対応するかを判定する。
取得ステップは、判定ステップにより対応すると判定された場合に、提供ルールに対応するデータを取得する。
匿名化ステップは、取得ステップによって取得されたデータを要求ルールに基づいて匿名化して、匿名化データを発行する。
提供ステップは、匿名化ステップによって発行された匿名化データをデータ利用者に提供する。

また、発行部３００は、次のような、要求受付ステップ、取得ステップ、匿名化ステップ及び提供ステップを実行するプログラムを備えていてもよい。
要求受付ステップは、データ利用者の端末から発行要求を受け付ける。
取得ステップは、要求受付ステップによって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと同等の基準で既に匿名化されている匿名化データ、又は、要求ルールよりも緩和された基準で既に匿名化されている匿名化データを発行済データ管理部４００から取得する。
匿名化ステップは、取得ステップによって取得された、要求ルールよりも緩和された基準で既に匿名化されている匿名化データを、要求ルールに基づいてさらに匿名化して、二次匿名化データを発行する。
提供ステップは、匿名化ステップによって発行された二次匿名化データをデータ利用者の端末に提供し、又は、取得ステップによって取得された、要求ルールと同等の基準で既に匿名化されている匿名化データを二次匿名化データとしてデータ利用者の端末に提供する。

なお、プログラムは、記録媒体に記憶されていてもよい。記録媒体とは、例えば、フレキシブルディスク、光ディスク、ハードディスク又はメモリ等のことである。

以上のような匿名化システム１によれば、データ利用者が所望する匿名化データを、そのデータ利用者の端末に提供することができる。
また、匿名化システム１は、データを匿名化するための条件となるルールを予めデータ利用者に提供しているため、データ利用者が所望する匿名化データが得られるのか検討することができる。

また、匿名化システム１は、発行部３００において、データ利用者の端末が要求した要求ルールが、データを匿名化するための条件となる提供ルールに則っているかを判定するため、不正に匿名化が緩和された匿名化データをデータ利用者の端末に提供してしまう事態を回避することができる。
また、匿名化システム１は、ｋ−ｍｅｍｂｅｒ ｃｌｕｓｔｅｒｉｎｇ及びガウス分布を利用することにより、匿名化データを発行することができる。

また匿名化システム１は、既に発行済みの匿名化データをさらに匿名化することにより、二次匿名化データを発行するので、匿名性が失われることを防ぐことができる。

ここで、従来では、ある基準で電力データから匿名化データ（第１の匿名化データ）を作成した後、さらに、同一の基準で同一の電力データから匿名化データ（第２の匿名化データ）を作成した場合には、第１の匿名化データと第２の匿名化データとの匿名性（ｋ−匿名性）が異なる場合でも、第１の匿名化データ及び第２の匿名化データの２つを参照すれば、匿名性が失われる可能性がある。
また、従来では、ある基準で電力データから匿名化データ（第３の匿名化データ）を作成した後、異なる基準で同一の電力データから匿名化データ（第４の匿名化データ）を作成した場合には、第３の匿名化データと第４の匿名化データとの匿名性（ｋ−匿名性とｌ−多様性）が異なる場合でも、第３の匿名化データ及び第４の匿名化データの２つを参照すれば、匿名性が失われる可能性がある。

例えば、表１に示すように、ある地域に住む家族の電力使用量に関するデータがあったとする。

表１に示すデータについて、ｋ＝２とするｋ−匿名化を行った場合には、例えば、表２に示すような匿名化データが得られる。

また、表１に示すデータについて、ｌ＝２のｌ−多様性による匿名化を行った場合には、例えば、表３に示すような匿名化データが得られる。

表２に示す匿名化データと、表３に示す匿名化データとを参照した場合には、表１に示すデータが得られてしまう。

この点、本実施形態では、以下の（１）〜（３）の処理を実行する。
（１）過去に発行された匿名化データを全て記憶する。
（２）記憶された匿名化データの中に、発行要求に含まれる要求ルールと同等の基準で匿名化されたものがあれば、対応する匿名化データを読み出して発行する。なお、探索範囲は、特定の基準によって発行された匿名化データに限定せず、過去に発行された全ての匿名化データとする。
（３）記憶された匿名化データの中に、発行要求に含まれる要求ルールと同等の基準で匿名化されたものが無ければ、記憶された匿名化データを基にして、要求ルールを満たす二次匿名化データを発行する。

例えば、記憶された匿名化データとして表２に示す匿名化データが存在すれば、表２に示す匿名化データについて、ｌ＝２のｌ−多様性による匿名化をさらに行えば、表４に示すような二次匿名化データが得られる。表２に示す匿名化データと表４に示す二次匿名化データとを参照した場合でも、表２に示すデータしか得られず、データ提供者の提供ルールに沿った匿名化データしか得られない。これにより、匿名化システム１は、複数発行された匿名化データから緩和されたデータが推定される事態を防ぐことができる。

実装例としては、まず、発行部３００は、データ提供者の提供ルール（許可された最低限のプライバシ基準）で匿名化データを作成する。次に、発行部３００は、その匿名化データを基準にして、発行要求に含まれる要求ルールに従った匿名化データを作成し、データ利用者の端末に提供する。これにより、データ利用者の端末に提供される匿名化データは、データ提供者のルールに従うことになる。

なお、上述した実施形態では、提供データ管理部１００と提供ルール管理部２００とが別々に配される例について説明した。しかしながら、本発明は、この例に限定されることはない。例えば、提供データ管理部と提供ルール管理部とは、１つのサーバにより実現されてもよい。

また、上述した実施形態では、発行部３００と発行済データ管理部４００とが別々に配される例について説明した。しかしながら、本発明は、この例に限定されることはない。例えば、発行部と発行済データ管理部とは、１つのサーバにより実現されてもよい。

また、上述した実施形態では、電力使用量について匿名化する例について説明した。しかしながら、本発明は、この例に限定されることはない。匿名化の対象となるデータに記録される情報は、例えば、医療情報（診療履歴）、公共交通機関の移動情報（移動履歴）及び物品購入情報（購買履歴）等を始めとする種々の情報であってもよい。

１ 匿名化システム
１００ 提供データ管理部
２００ 提供ルール管理部
３００ 発行部
３０１ 要求受付部
３０２ 判定部
３０３ 取得部
３０４ 匿名化部
３０５ 第４提供部
４００ 発行済データ管理部

Claims (8)

1. 匿名化の対象となる所定の情報が記録されたデータと、当該データを匿名化する場合の条件となる提供ルールとを対応付けて提供する複数のデータ提供装置と、
   前記所定の情報が記録されたデータと、当該データに対応し、前記データを匿名化する場合の条件となる前記提供ルールとを複数の前記データ提供装置から受け付けて、前記データを記憶すると共に、前記提供ルールを提供する提供データ管理部と、
   前記提供データ管理部によって提供された前記提供ルールを記憶する提供ルール管理部と、
   匿名化したデータである匿名化データについての発行要求があった場合に、前記発行要求が前記提供ルール管理部に記憶される提供ルールに則っていると、前記提供ルールに対応するデータを前記提供データ管理部から取得し、取得した前記データを匿名化して匿名化データを発行し、当該匿名化データを提供する発行部と、
   を備える匿名化システム。
2. 前記発行部は、
   前記複数のデータ提供装置から提供された前記データに対し、前記発行要求を受け付ける要求受付部と、
   前記要求受付部によって受け付けた前記発行要求に対応し、前記データを匿名化する場合に利用される要求ルールと、前記提供ルール管理部に記憶される前記提供ルールとが対応するかを判定する判定部と、
   前記判定部により対応すると判定された場合に、前記提供ルールに対応するデータを前記提供データ管理部から取得する取得部と、
   前記取得部によって取得されたデータを前記要求ルールに基づいて匿名化して、前記匿名化データを発行する匿名化部と、
   前記匿名化部によって発行された前記匿名化データを提供する提供部と、
   を備える請求項１に記載の匿名化システム。
3. 前記匿名化部は、
   前記取得部によって取得した前記データに基づいて、所定数のデータを含むクラスタを複数作成し、
   前記複数のクラスタのそれぞれについてガウス分布を作成し、
   作成した各ガウス分布を足し合わせて、面積が１になるようにスケールを変換する、
   ことにより、匿名化データを発行する請求項２に記載の匿名化システム。
4. 前記発行部によって発行された前記匿名化データを記憶する発行済データ管理部を備え、
   前記発行部は、前記発行済データ管理部に記憶される前記匿名化データを読み出し、当該匿名化データをさらに匿名化して、二次匿名化データを発行する
   請求項１から３のいずれか１項に記載の匿名化システム。
5. 匿名化の対象となる所定の情報が記録されたデータと、当該データを匿名化する場合の条件となる提供ルールとを対応付けて提供する複数のデータ提供装置から提供された前記データに対し、データ利用者の端末から発行要求を受け付ける要求受付部と、
   前記要求受付部によって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと、前記データ提供装置から提供され、前記データを匿名化する場合の条件となる前記提供ルールとが対応するかを判定する判定部と、
   前記判定部により対応すると判定された場合に、前記提供ルールに対応するデータを取得する取得部と、
   前記取得部によって取得されたデータを前記要求ルールに基づいて匿名化して、匿名化データを発行する匿名化部と、
   前記匿名化部によって発行された前記匿名化データをデータ利用者の端末に提供する提供部と、
   を備える発行装置。
6. 匿名化の対象となる所定の情報が記録されたデータと、当該データを匿名化する場合の条件となる提供ルールとを対応付けて提供する複数のデータ提供装置から提供された前記データに対し、データ利用者の端末から発行要求を受け付ける要求受付部と、
   前記要求受付部によって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと同等の基準で前記データが既に匿名化されている匿名化データ、又は、前記要求ルールよりも緩和された基準で前記データが既に匿名化されている匿名化データを発行済データ管理部から取得する取得部と、
   前記取得部によって取得された、前記要求ルールよりも緩和された基準で前記データが既に匿名化されている匿名化データを、前記要求ルールに基づいてさらに匿名化して、二次匿名化データを発行する匿名化部と、
   前記匿名化部によって発行された二次匿名化データをデータ利用者の端末に提供し、又は、前記取得部によって取得された、前記要求ルールと同等の基準で前記データが既に匿名化されている匿名化データを二次匿名化データとしてデータ利用者の端末に提供する提供部と、
   を備える発行装置。
7. コンピュータにおいて実行されるプログラムであって、
   匿名化の対象となる所定の情報が記録されたデータと、当該データを匿名化する場合の条件となる提供ルールとを対応付けて提供する複数のデータ提供装置から提供された前記データに対し、データ利用者の端末から発行要求を受け付ける要求受付ステップと、
   前記要求受付ステップによって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと、前記データ提供装置から提供され、前記データを匿名化する場合の条件となる前記提供ルールとが対応するかを判定する判定ステップと、
   前記判定ステップにより対応すると判定された場合に、前記提供ルールに対応するデータを取得する取得ステップと、
   前記取得ステップによって取得されたデータを前記要求ルールに基づいて匿名化して、匿名化データを発行する匿名化ステップと、
   前記匿名化ステップによって発行された前記匿名化データをデータ利用者の端末に提供する提供ステップと、
   を実行するプログラム。
8. コンピュータにおいて実行されるプログラムであって、
   匿名化の対象となる所定の情報が記録されたデータと、当該データを匿名化する場合の条件となる提供ルールとを対応付けて提供する複数のデータ提供装置から提供された前記データに対し、データ利用者の端末から発行要求を受け付ける要求受付ステップと、
   前記要求受付ステップによって受け付けた発行要求に対応し、データを匿名化する場合に利用される要求ルールと同等の基準で前記データが既に匿名化されている匿名化データ、又は、前記要求ルールよりも緩和された基準で前記データが既に匿名化されている匿名化データを発行済データ管理部から取得する取得ステップと、
   前記取得ステップによって取得された、前記要求ルールよりも緩和された基準で前記データが既に匿名化されている匿名化データを、前記要求ルールに基づいてさらに匿名化して、二次匿名化データを発行する匿名化ステップと、
   前記匿名化ステップによって発行された二次匿名化データをデータ利用者の端末に提供し、又は、前記取得ステップによって取得された、前記要求ルールと同等の基準で前記データが既に匿名化されている匿名化データを二次匿名化データとしてデータ利用者の端末に提供する提供ステップと、
   を実行するプログラム。

Images