JP6610334B2 - Leakage risk providing apparatus, leakage risk providing method, and leakage risk providing program - Google Patents
Leakage risk providing apparatus, leakage risk providing method, and leakage risk providing program Download PDFInfo
- Publication number
- JP6610334B2 JP6610334B2 JP2016037904A JP2016037904A JP6610334B2 JP 6610334 B2 JP6610334 B2 JP 6610334B2 JP 2016037904 A JP2016037904 A JP 2016037904A JP 2016037904 A JP2016037904 A JP 2016037904A JP 6610334 B2 JP6610334 B2 JP 6610334B2
- Authority
- JP
- Japan
- Prior art keywords
- attribute
- combination
- risk
- extracted
- attributes
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
Description
本発明は、漏洩リスク提供装置、漏洩リスク提供方法および漏洩リスク提供プログラムに関する。 The present invention relates to a leakage risk providing apparatus, a leakage risk providing method, and a leakage risk providing program.
各行に個人の情報を格納した個票データを、プライバシーに配慮しつつ多くの情報が残るように変換したい要望がある。このような個票データの変換は匿名化と呼ばれる。匿名化された個票データは、例えば、プライバシーに配慮しつつ第三者に販売されることで、利活用範囲を広げることができる。ところが、利活用範囲が広い有用性の高い個票データは、匿名性と有用性とがトレードオフの関係であるので、プライバシーの漏洩リスク(以下、単にリスクともいう。)が高くなる。 There is a demand for converting individual vote data storing individual information in each row so that much information remains while considering privacy. Such conversion of individual vote data is called anonymization. Anonymized individual vote data can be used for a wider range of use, for example, by being sold to a third party in consideration of privacy. However, the highly useful individual vote data with a wide utilization range has a trade-off relationship between anonymity and usefulness, and therefore privacy leakage risk (hereinafter also simply referred to as risk) increases.
個票データの提供者は、なるべく有用性を高く保ちつつ、十分な匿名性を確保するために、リスクを評価することで、個票データの情報量を決定する。リスク評価は、例えば、JOモデルと呼ばれる個人情報漏洩事件による損害賠償額の算出モデルを用いて、漏洩個人情報価値を金額として算出することができる。また、他のリスク評価としては、k−匿名性と呼ばれる、度数分布を用いて度数の最小の値kをリスク指標とし、kが小さい程リスクが小さいとする手法がある。 In order to ensure sufficient anonymity while keeping usability as high as possible, the provider of the individual vote data determines the information amount of the individual vote data by evaluating the risk. In the risk evaluation, for example, a leakage personal information value can be calculated as a monetary amount using a model for calculating damages due to a personal information leakage case called a JO model. As another risk evaluation, there is a method called k-anonymity, which uses a frequency distribution and uses the minimum value k of the frequency as a risk index, and the smaller the k, the smaller the risk.
しかしながら、上述のリスク評価手法では、提供者は、評価の結果に基づいてリスクが高すぎると判断した場合には、さらなる匿名化を検討するが、金額やリスク指標では、どのように匿名化すればよいか検討することは難しい。このため、上述のリスク評価手法では、有用性を高く保ちつつ、十分な匿名性を確保できるように匿名化するための具体的な情報を得ることは困難である。 However, in the risk assessment method described above, if the provider determines that the risk is too high based on the result of the assessment, the provider will consider further anonymization. It is difficult to consider what should be done. For this reason, in the above-mentioned risk evaluation method, it is difficult to obtain specific information for anonymization so that sufficient anonymity can be ensured while keeping usefulness high.
一つの側面では、本発明は、漏洩リスクの判断の精度を高めることができる漏洩リスク提供装置、漏洩リスク提供方法および漏洩リスク提供プログラムを提供することにある。 In one aspect, the present invention is to provide a leakage risk providing apparatus, a leakage risk providing method, and a leakage risk providing program that can improve the accuracy of determination of leakage risk.
一つの態様では、漏洩リスク提供装置は、記憶部と、属性抽出部と、エントリ抽出部と、影響度算出部と、リスク情報作成部とを有する。記憶部は、複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する。属性抽出部は、前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する。エントリ抽出部は、前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出する。影響度算出部は、前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出する。リスク情報作成部は、前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける。 In one aspect, the leakage risk providing apparatus includes a storage unit, an attribute extraction unit, an entry extraction unit, an influence degree calculation unit, and a risk information creation unit. The storage unit stores the sensitivity of each of the attributes in the individual vote data, which is a set of entries given a plurality of attributes. The attribute extraction unit calculates a leakage risk for each combination of the attributes based on the sensitivity, and extracts a combination of attributes for which the leakage risk satisfies a predetermined condition. The entry extraction unit extracts, for each extracted combination, an entry in which the number of entries specified by the attribute value included in the combination satisfies a predetermined condition. The influence degree calculation unit calculates the influence degree of attributes other than the attributes included in the extracted combination in the extracted entry based on the sensitivity. The risk information creation unit associates the extracted combination with an attribute whose influence degree satisfies a predetermined condition.
漏洩リスクの判断の精度を高めることができる。 The accuracy of determination of leakage risk can be increased.
以下、図面に基づいて、本願の開示する漏洩リスク提供装置、漏洩リスク提供方法および漏洩リスク提供プログラムの実施例を詳細に説明する。なお、本実施例により、開示技術が限定されるものではない。また、以下の実施例は、矛盾しない範囲で適宜組みあわせてもよい。 Hereinafter, embodiments of a leakage risk providing apparatus, a leakage risk providing method, and a leakage risk providing program disclosed in the present application will be described in detail based on the drawings. The disclosed technology is not limited by the present embodiment. Further, the following embodiments may be appropriately combined within a consistent range.
図1は、実施例の漏洩リスク提供装置の構成の一例を示すブロック図である。図1に示す漏洩リスク提供装置100は、個票データと、優先度情報と、閾値群とを受け付ける。漏洩リスク提供装置100は、受け付けた個票データと、優先度情報と、閾値群とを記憶部120に記憶する。すなわち、漏洩リスク提供装置100では、優先度情報に基づいて、複数の属性が与えられたエントリの集合である個票データにおける属性のそれぞれに機微度を対応付けるテーブルが記憶部120に記憶される。漏洩リスク提供装置100は、機微度に基づいて、属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する。漏洩リスク提供装置100は、抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出する。漏洩リスク提供装置100は、機微度に基づいて、抽出されたエントリにおける抽出された組み合わせに含まれる属性以外の属性の影響度を算出する。漏洩リスク提供装置100は、抽出された組み合わせと、影響度が所定の条件を満たす属性とを対応付ける。これにより、漏洩リスク提供装置100は、漏洩リスクの判断の精度を高めることができる。
FIG. 1 is a block diagram illustrating an example of the configuration of the leakage risk providing apparatus according to the embodiment. The leakage
ここで、図2から図5を用いて、個票データの匿名化およびリスク情報について説明する。図2は、個票データの一例を示す図である。図2に示すように、個票データ20は、各行に個人情報を格納した2次元の表である。図2の例では、個票データ20は、「患者ID(IDentifier)」、「生年」、「性別」、「国籍」、「診察結果」といった属性を示す項目を有する。なお、行番号は、説明のために付したものである。個票データ20を匿名化する場合には、例えば各属性の情報を一般化する。例えば、属性「生年」の一般化では、値「11」について、20未満の数値であることを表す「<20」、不明な1文字の数字を表す「?」を用いる「1?」、不明な文字列を表す「*」を用いる「*」といった変換が行われる。なお、本実施例では、値「11」を「2?」に変換するといった、虚偽のデータは含まれないものとする。なお、一般化では、ある属性について、全行を「*」に一般化することは、当該属性情報の削除と実質的に同一視できる場合があるので、属性削除も一般化の一形態とする。
Here, anonymization of the individual vote data and risk information will be described with reference to FIGS. FIG. 2 is a diagram illustrating an example of individual vote data. As shown in FIG. 2, the
図3は、個票データの匿名化の一例を示す図である。図3に示す個票データ21は、図2に示す個票データ20に対して、属性「患者ID」を削除し、属性「生年」について一般化を行った一例である。個票データ21では、属性「生年」について、値が20未満である場合に「<20」に一般化し、値が20以上である場合に、数値の一の位を「?」に一般化したものである。このように、個票データ21は、「患者ID」の情報は使用できず、「生年」も10年単位でしか判らなくなっており、個票データ20と比較して情報量が少なくなっている。一般的には、匿名化を行うと情報量が減ってリスクも低減する。
FIG. 3 is a diagram illustrating an example of anonymization of individual vote data. The
例えば、個票データ20と個票データ21とにおけるリスクについて比較する。個票データ20において、攻撃者は、例えば母集団に{生年:11}の人物が1人しかいないこと、および、当該属性を持つ人物を知っているが、当該人物の「診断結果」を知らない場合がある。この場合には、攻撃者が個票データ20を見ることで当該人物が行番号「1」に該当し、当該人物が{診断結果:肝炎}であることを知ることができてしまうというリスクがある。なお、{生年:11}は、属性「生年」の値が「11」であることを示す。また、{診断結果:肝炎}は、属性「診断結果」が「肝炎」であることを示す。以下、属性と値とについて同様に記載する場合がある。
For example, the risks in the
これに対し、個票データ21では、属性「生年」が一般化されているため、人物を一意に特定できる可能性が低減されている。例えば、母集団に{生年:<20}の人物が複数いる場合には、全体のリスクが低減されている。しかしながら、個票データ21を活用する場合には、特定個人の情報を知る必要はないので、属性「患者ID」が削除されていても問題ない。また、属性「生年」の情報は、10年単位でも役立つ知見を得られる可能性があり、個票データ21でも価値がある状況があり得る。なお、リスクを最小化する匿名化は、全属性を削除することであるが、この場合には、リスクはなくなるが、二次活用の可能性もなくなることとなる。
On the other hand, in the
図4は、リスク情報の一例を示す図である。図4に示すリスク情報22は、図2に示す個票データ20を入力とした場合におけるリスク情報の一例である。図4に示すように、リスク情報22は、「属性組み合わせ」、「行の数」、「行番号」、「特定情報」、「影響情報」といった項目を有する。「属性組み合わせ」は、個票データ20に対して行を特定できる属性の組み合わせを示す。「行の数」は、属性組み合わせで特定できる行の数を示す。「行番号」は、特定できる行のうち、予め定められた所定の行数未満の行を一例として、例示する行番号を示す。「特定情報」は、特定できる行のうち、例示された行番号を特定するための属性値を示す。つまり、「特定情報」は、例示された行番号の行を特定するのに最小限必要な属性の情報である。「影響情報」は、例示された行番号の行における、属性組み合わせに用いた属性を除いた他の属性のうち、行が特定されたことにより判明する属性の属性値を示す。なお、「影響情報」は、判明する属性の属性値のうち、機微度が高い属性の属性値を優先して表示するようにしてもよい。
FIG. 4 is a diagram illustrating an example of risk information. The
図4の1行目および2行目の例では、属性組み合わせが「患者ID」である場合に、行の数は「1000」であり、属性「患者ID」単独の値で1000行が特定できる。なお、個票データ20は、全部で1000行あるものとするので、属性「患者ID」単独の値で全行が特定できることになる。行番号「3」は、特定情報{患者ID:103}で特定でき、影響情報は{診察結果:異食症,国籍:中国}であることが判る。
In the example of the first and second lines in FIG. 4, when the attribute combination is “patient ID”, the number of lines is “1000”, and 1000 lines can be identified by the value of the attribute “patient ID” alone. . Since the
また、3行目の例では、属性組み合わせが「生年」と「性別」との組み合わせの値で1行が特定できる。さらに、特定された行番号「1」は、特定情報{生年:11,性別:男}、影響情報{診察結果:肝炎,国籍:日本}であることが判る。このとき、攻撃者は、特定情報{生年:11,性別:男}を持つ人物が母集団において1人であることを知っている場合、当該人物の影響情報{診察結果:肝炎,国籍:日本}を知ることができてしまうことになる。すなわち、図2に示す個票データ20では、図4に示すリスク情報22に基づいて、属性「患者ID」や属性「生年」は特定性が高く、匿名化の対象として効果的であると推定できる。
Further, in the example of the third row, one row can be identified by the attribute combination of the combination of “birth year” and “gender”. Furthermore, it can be seen that the specified line number “1” is specific information {birth year: 11, sex: male}, influence information {diagnosis result: hepatitis, nationality: Japan}. At this time, if the attacker knows that there is one person in the population with specific information {birth year: 11, gender: male}, the influence information of the person {diagnosis result: hepatitis, nationality: Japan } Will be known. That is, in the
図5は、リスク情報の他の一例を示す図である。図5に示すリスク情報23は、図3に示す個票データ21を入力とした場合におけるリスク情報の一例である。リスク情報23は、リスク情報22と比較して特定できる行が2行に減少している。リスク情報23の1行目の例では、特定情報{生年:7?,性別:男,国籍:日本}で行が特定できる。しかしながら、提供者は、例えば、この様な属性値を持つ人物が母集団に十分多く存在すると判断した場合には、このリスクを許容できると決断できる場合がある。同様に、2行目の例では、特定情報{診察結果:異食症}で行が特定できるが、例えば影響情報{国籍:中国}について影響が小さい情報であると提供者が判断した場合には、このリスクを許容できると決断できる場合がある。
FIG. 5 is a diagram illustrating another example of risk information. The
次に、図1の説明に戻って、漏洩リスク提供装置100の構成について説明する。図1に示すように、漏洩リスク提供装置100は、入力部110と、表示部111と、操作部112と、記憶部120と、制御部130とを有する。なお、漏洩リスク提供装置100は、図1に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイス等の機能部を有することとしてもかまわない。漏洩リスク提供装置100の一例としては、据置型のパーソナルコンピュータを採用できる。漏洩リスク提供装置100には、上記の据置型のパーソナルコンピュータのみならず、可搬型のパーソナルコンピュータを漏洩リスク提供装置100として採用することもできる。また、漏洩リスク提供装置100は、可搬型の端末としては、上記の可搬型のパーソナルコンピュータの他にも、例えば、タブレット端末を採用することもできる。
Next, returning to the description of FIG. 1, the configuration of the leakage
入力部110は、例えば、光学ディスク、USB(Universal Serial Bus)メモリ、SDメモリカード等の外部記憶媒体に対する媒体アクセス装置等によって実現される。入力部110は、外部記憶媒体に記憶された個票データT、優先度情報Sおよび閾値群Pを読み取って、読み取った個票データT、優先度情報Sおよび閾値群Pを制御部130に出力する。
The input unit 110 is realized by a medium access device for an external storage medium such as an optical disk, a USB (Universal Serial Bus) memory, and an SD memory card, for example. The input unit 110 reads the individual vote data T, priority information S, and threshold value group P stored in the external storage medium, and outputs the read individual vote data T, priority information S, and threshold value group P to the
表示部111は、各種情報を表示するための表示デバイスである。表示部111は、例えば、表示デバイスとして液晶ディスプレイ等によって実現される。表示部111は、制御部130から入力された出力画面等の各種画面を表示する。
The display unit 111 is a display device for displaying various information. The display unit 111 is realized by, for example, a liquid crystal display as a display device. The display unit 111 displays various screens such as an output screen input from the
操作部112は、漏洩リスク提供装置100のユーザから各種操作を受け付ける入力デバイスである。操作部112は、例えば、入力デバイスとして、キーボードやマウス等によって実現される。操作部112は、ユーザによって入力された操作を操作情報として制御部130に出力する。なお、操作部112は、入力デバイスとして、タッチパネル等によって実現されるようにしてもよく、表示部111の表示デバイスと、操作部112の入力デバイスとは、一体化されるようにしてもよい。
The operation unit 112 is an input device that accepts various operations from the user of the leakage
記憶部120は、例えば、RAM(Random Access Memory)、フラッシュメモリ等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。記憶部120は、個票データ記憶部121と、優先度情報記憶部122と、閾値記憶部123と、リスク情報記憶部124とを有する。また、記憶部120は、制御部130での処理に用いられる情報を記憶する。
The storage unit 120 is realized by a storage device such as a RAM (Random Access Memory), a semiconductor memory element such as a flash memory, a hard disk, or an optical disk, for example. The storage unit 120 includes an individual vote
個票データ記憶部121は、漏洩リスクの提供対象となる個票データを記憶する。個票データは、複数の属性が与えられたエントリの集合である。図6は、個票データ記憶部の一例を示す図である。図6に示すように、個票データ記憶部121は、「行番号」、「生年」、「国籍」、「診察結果」といった項目を有する。なお、「行番号」は、元の個票データにない場合には付加してもよいし、「行番号」が識別可能なデータ構造であれば、項目としてはなくてもよい。個票データ記憶部121は、例えば、エントリごとに1レコードとして記憶する。
The individual vote
「行番号」は、個票データのエントリの番号、つまりレコード番号を示す情報である。「生年」は、個票データのエントリに対応する人物の生年を示す情報である。「国籍」は、個票データのエントリに対応する人物の国籍を示す情報である。「診察結果」は、個票データのエントリに対応する人物の診察結果を示す情報である。図6の1行目の例では、行番号「1」の人物は、生年「4?」、国籍「日本」および診察結果「肺癌」であることを示す。 The “line number” is information indicating the entry number of the individual slip data, that is, the record number. “Birth year” is information indicating the birth year of the person corresponding to the entry of the individual vote data. “Nationality” is information indicating the nationality of the person corresponding to the entry of the individual vote data. “Diagnosis result” is information indicating the examination result of the person corresponding to the entry of the individual vote data. In the example of the first line in FIG. 6, the person with the line number “1” indicates that his / her year of birth is “4?”, Nationality “Japan”, and examination result “lung cancer”.
図1の説明に戻って、優先度情報記憶部122は、優先度に用いる個票データの属性の機微度の情報を記憶する。言い換えると、優先度情報記憶部122は、複数の属性が与えられたエントリの集合である個票データにおける属性のそれぞれに機微度を対応付けるテーブルである。図7は、優先度情報記憶部の一例を示す図である。図7に示すように、優先度情報記憶部122は、属性の機微度を示す属性テーブル122aと、属性値の機微度を示す属性値テーブル122bとを有する。属性テーブル122aは、「属性」、「機微度」、「属性値の機微度情報」といった項目を有する。
Returning to the description of FIG. 1, the priority
「属性」は、個票データの属性を示す情報である。「機微度」は、当該属性における機微度を示す情報である。「機微度」は、正の数であり、値が大きいほど機微であることを示す。「機微度」は、機微性を例えば1〜100の範囲で定量化した情報である。なお、数値の範囲は、任意の範囲を用いることができる。「属性値の機微度情報」は、例えば属性値がさらに機微度を持つ場合に、それぞれの属性値の機微度を示す属性値テーブル122bへのポインタを示す情報である。また、「属性値の機微度情報」は、例えば属性値がさらに機微度を持たない場合には、例えば「×」で示される。 “Attribute” is information indicating the attribute of the individual vote data. “Sensitivity” is information indicating the sensitivity of the attribute. “Sensitivity” is a positive number, and the greater the value, the more sensitive. “Sensitivity” is information obtained by quantifying sensitivity in a range of 1 to 100, for example. An arbitrary range can be used for the numerical range. The “attribute value sensitivity information” is information indicating a pointer to the attribute value table 122b indicating the sensitivity of each attribute value, for example, when the attribute value further has sensitivity. The “attribute value sensitivity information” is indicated by “x”, for example, when the attribute value has no further sensitivity.
属性値テーブル122bは、「属性値」、「機微度」といった項目を有する。「属性値」は、属性に対応する属性値を示す情報である。「機微度」は、当該属性値における機微度を示す情報である。なお、優先度情報記憶部122では、属性の機微度と、属性値の機微度との尺度を合わせるため、属性値の機微度の最大値は属性の機微度とする。図7の例では、属性テーブル122aにおいて、属性「生年」は、機微度「2」、属性値の機微度情報「×」である。また、属性「診察結果」の機微度の最大値は、属性値の機微度の最大値の「100」であり、属性値の機微度情報は属性値テーブル122bへのポインタである。また、図7の例では、属性値テーブル122bにおいて、例えば、属性値「風邪」は機微度「2」、属性値「肝炎」は機微度「80」である。
The attribute value table 122b has items such as “attribute value” and “sensitivity”. “Attribute value” is information indicating an attribute value corresponding to the attribute. “Sensitivity” is information indicating the sensitivity of the attribute value. In the priority
図1の説明に戻って、閾値記憶部123は、閾値群Pを記憶する。閾値記憶部123は、閾値群Pとして、例えば、閾値p1、p2、p3といった閾値を記憶する。閾値p1は、属性組み合わせの度数分布に関する閾値であり、度数が閾値p1未満のエントリ(行)を判定するためのものである。閾値p2は、リスク情報の属性組み合わせで特定できる行の数が多い場合に、出力するエントリの数(行数)を決定する閾値である。閾値p3は、リスク情報の属性組み合わせで特定できる行の数が多い場合に、既に処理済みである属性組み合わせを包含する属性組み合わせについて、処理対象から除外するか否かを判定するための閾値である。閾値群Pは、例えば、閾値p1=2、閾値p2=3、および、閾値p3=2とすることができる。 Returning to the description of FIG. 1, the threshold storage unit 123 stores the threshold group P. The threshold storage unit 123 stores thresholds such as thresholds p1, p2, and p3 as the threshold group P, for example. The threshold value p1 is a threshold value regarding the frequency distribution of attribute combinations, and is used to determine an entry (row) whose frequency is less than the threshold value p1. The threshold value p2 is a threshold value for determining the number of entries to be output (number of rows) when the number of rows that can be specified by the risk information attribute combination is large. The threshold value p3 is a threshold value for determining whether or not to exclude an attribute combination including an already processed attribute combination from a processing target when the number of lines that can be specified by the risk information attribute combination is large. . The threshold value group P can be set to, for example, threshold value p1 = 2, threshold value p2 = 3, and threshold value p3 = 2.
リスク情報記憶部124は、リスク情報を記憶する。図8は、リスク情報記憶部の一例を示す図である。図8に示すように、リスク情報記憶部124は、「属性組み合わせ」、「行の数」、「行番号」、「特定情報」、「影響情報」といった項目を有する。リスク情報記憶部124は、例えば、属性組み合わせごとに閾値p2未満のエントリ(行)を対応付けて記憶する。
The risk
「属性組み合わせ」は、受け付けた個票データに対して行を特定できる属性の組み合わせを示す情報である。「行の数」は、属性組み合わせで特定できる行の数を示す情報である。「行番号」は、特定できる行のうち、予め定められた所定の行数未満の行を一例として、例示する行番号を示す情報である。「特定情報」は、特定できる行のうち、例示された行番号を特定するための属性値を示す情報である。「影響情報」は、例示された行番号の行における、属性組み合わせに用いた属性を除いた他の属性のうち、行が特定されたことにより判明する属性の属性値を示す情報である。図8の1行目の例では、属性組み合わせが{生年,国籍}である場合に、特定できる行の数は「1」行であり、行番号「3」が特定情報{生年:4?,国籍:中国}で特定され、影響情報が{診察結果:肝炎}であることを示す。 “Attribute combination” is information indicating a combination of attributes that can specify a row for the received individual slip data. The “number of rows” is information indicating the number of rows that can be specified by the attribute combination. The “line number” is information indicating an exemplary line number, taking as an example lines that are less than a predetermined number of lines that can be specified. “Specific information” is information indicating an attribute value for specifying the exemplified line number among the lines that can be specified. The “influence information” is information indicating the attribute value of an attribute that is determined by specifying a row among the other attributes excluding the attribute used for the attribute combination in the row with the exemplified row number. In the example of the first line in FIG. 8, when the attribute combination is {birth year, nationality}, the number of lines that can be specified is “1” line, and the line number “3” is the specific information {birth year: 4? , Nationality: China}, and the impact information is {diagnosis result: hepatitis}.
図1の説明に戻って、制御部130は、例えば、CPU(Central Processing Unit)やMPU(Micro Processing Unit)等によって、内部の記憶装置に記憶されているプログラムがRAMを作業領域として実行されることにより実現される。また、制御部130は、例えば、ASIC(Application Specific Integrated Circuit)やFPGA(Field Programmable Gate Array)等の集積回路により実現されるようにしてもよい。制御部130は、受付部131と、高リスク属性抽出部132と、孤立エントリ抽出部133と、影響度算出部134と、リスク情報抽出部135と、出力制御部136とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部130の内部構成は、図1に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。
Returning to the description of FIG. 1, the
受付部131は、入力部110から個票データT、優先度情報Sおよび閾値群Pが入力されると、入力された個票データT、優先度情報Sおよび閾値群Pを受け付ける。受付部131は、受け付けた個票データT、優先度情報Sおよび閾値群Pを、それぞれ個票データ記憶部121、優先度情報記憶部122および閾値記憶部123に記憶するとともに、属性組み合わせ抽出指示を高リスク属性抽出部132に出力する。
When receiving the individual vote data T, the priority information S, and the threshold value group P from the input unit 110, the accepting unit 131 accepts the inputted individual vote data T, the priority information S, and the threshold value group P. The receiving unit 131 stores the received individual vote data T, the priority information S, and the threshold value group P in the individual vote
高リスク属性抽出部132は、受付部131から属性組み合わせ抽出指示が入力されると、優先度情報記憶部122から優先度情報Sに含まれる各属性の機微度を読み出す。高リスク属性抽出部132は、読み出した各属性の機微度に基づいて、個票データ記憶部121を参照し、個票データTの属性について、全属性の組み合わせを生成する。高リスク属性抽出部132は、生成した全属性の組み合わせについて、組み合わせ内の属性の機微度の積に基づいて優先度を算出する。すなわち、優先度は、機微度の積が小さい順に高リスクであるとする。つまり、優先度は、漏洩リスクに相当する。
When the attribute combination extraction instruction is input from the reception unit 131, the high risk attribute extraction unit 132 reads the sensitivity of each attribute included in the priority information S from the priority
高リスク属性抽出部132は、算出した優先度に基づいて、優先度が所定の条件を満たす属性組み合わせを抽出する。すなわち、高リスク属性抽出部132は、処理すべき属性組み合わせを抽出する。なお、所定の条件は、例えば、機微度の積が200未満である等とすることができる。つまり、余りにも知られにくい属性の組み合わせは処理から除外する。また、高リスク属性抽出部132は、リスク情報抽出部135から除外指示が入力されると、除外指示に含まれる属性組み合わせAを包含する属性組み合わせを、処理すべき属性組み合わせから除外する。
The high risk attribute extraction unit 132 extracts attribute combinations whose priority satisfies a predetermined condition based on the calculated priority. That is, the high risk attribute extraction unit 132 extracts attribute combinations to be processed. The predetermined condition may be, for example, that the product of sensitivity is less than 200. That is, combinations of attributes that are too difficult to be known are excluded from the processing. Further, when the exclusion instruction is input from the risk
高リスク属性抽出部132は、まだ処理すべき属性組み合わせがあるか否かを判定する。なお、高リスク属性抽出部132は、孤立エントリ抽出部133から選択指示が入力された場合にも同様に、まだ処理すべき属性組み合わせがあるか否かを判定する。高リスク属性抽出部132は、処理すべき属性組み合わせがない場合には、出力制御部136に出力指示を出力する。
The high risk attribute extraction unit 132 determines whether there is an attribute combination to be processed yet. Note that the high-risk attribute extraction unit 132 also determines whether there is an attribute combination that should still be processed when a selection instruction is input from the isolated entry extraction unit 133. The high risk attribute extraction unit 132 outputs an output instruction to the
高リスク属性抽出部132は、処理すべき属性組み合わせがある場合には、処理すべき属性組み合わせのうち、最も優先度が高い属性組み合わせを属性組み合わせAとして選択する。高リスク属性抽出部132は、選択した属性組み合わせAを孤立エントリ抽出部133に出力する。なお、高リスク属性抽出部132は、最も優先度が高い属性組み合わせが複数ある場合には、属性の数が少ない属性組み合わせを最も優先度が高いものとする。 When there is an attribute combination to be processed, the high risk attribute extraction unit 132 selects the attribute combination having the highest priority among the attribute combinations to be processed as the attribute combination A. The high risk attribute extraction unit 132 outputs the selected attribute combination A to the isolated entry extraction unit 133. Note that, when there are a plurality of attribute combinations with the highest priority, the high risk attribute extraction unit 132 sets the attribute combination with the smallest number of attributes to have the highest priority.
孤立エントリ抽出部133は、高リスク属性抽出部132から属性組み合わせAが入力されると、属性組み合わせAの値の度数分布Fを算出する。孤立エントリ抽出部133は、算出した度数分布Fに閾値p1未満の度数があるか否かを判定する。孤立エントリ抽出部133は、度数分布Fに閾値p1未満の度数がない場合には、次の属性組み合わせAを選択する旨の選択指示を高リスク属性抽出部132に出力する。 When the attribute combination A is input from the high risk attribute extraction unit 132, the isolated entry extraction unit 133 calculates the frequency distribution F of the value of the attribute combination A. The isolated entry extraction unit 133 determines whether or not the calculated frequency distribution F has a frequency less than the threshold value p1. The isolated entry extraction unit 133 outputs a selection instruction for selecting the next attribute combination A to the high risk attribute extraction unit 132 when the frequency distribution F does not have a frequency less than the threshold p1.
孤立エントリ抽出部133は、度数分布Fに閾値p1未満の度数がある場合には、個票データ記憶部121を参照し、当該度数の属性値の組み合わせで特定される行数(エントリ数)を算出する。すなわち、孤立エントリ抽出部133は、度数が閾値p1未満の行について総行数を算出する。また、孤立エントリ抽出部133は、度数が閾値p1未満の行を影響度算出部134に出力する。
The isolated entry extraction unit 133 refers to the individual slip
孤立エントリ抽出部133は、影響度算出部134から影響度が入力されると、個票データ記憶部121を参照し、度数が閾値p1未満の行のうち、影響度が高い順に閾値p2行未満の行(エントリ)を抽出する。言い換えると、孤立エントリ抽出部133は、抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出する。孤立エントリ抽出部133は、属性組み合わせA、算出した総行数、および、抽出した行をリスク情報抽出部135に出力する。
When the influence level is input from the influence level calculation unit 134, the isolated entry extraction unit 133 refers to the individual form
影響度算出部134には、孤立エントリ抽出部133から度数が閾値p1未満の行が入力される。影響度算出部134は、個票データ記憶部121および優先度情報記憶部122を参照し、入力された度数が閾値p1未満の行について、属性組み合わせAに含まれる属性以外の属性の影響度を算出する。言い換えると、影響度算出部134は、機微度に基づいて、抽出されたエントリにおける抽出された組み合わせに含まれる属性以外の属性の影響度を算出する。つまり、影響度は、影響情報に含まれる属性値の機微度であり、数値が大きいほど影響度は高くなる。影響度算出部134は、算出した影響度を孤立エントリ抽出部133に出力する。
The influence degree calculation unit 134 receives a row whose frequency is less than the threshold value p <b> 1 from the isolated entry extraction unit 133. The influence degree calculation unit 134 refers to the individual form
リスク情報抽出部135は、孤立エントリ抽出部133から属性組み合わせA、算出した総行数、および、抽出した行が入力されると、個票データ記憶部121を参照し、抽出した行について行番号、特定情報および影響情報を抽出する。リスク情報抽出部135は、属性組み合わせAと、算出した総行数と、抽出した行番号、特定情報および影響情報とを優先度順にリスク情報記憶部124に記憶する。言い換えると、リスク情報抽出部135は、抽出された組み合わせと、影響度が所定の条件を満たす属性とを対応付ける。
When the attribute combination A, the calculated total number of rows, and the extracted rows are input from the isolated entry extraction unit 133, the risk
リスク情報抽出部135は、リスク情報記憶部124を参照し、リスク情報の総行数が閾値p3未満であるか否かを判定する。リスク情報抽出部135は、リスク情報の総行数が閾値p3未満である場合には、次の属性組み合わせAを選択する旨の選択指示を高リスク属性抽出部132に出力する。リスク情報抽出部135は、リスク情報の総行数が閾値p3未満でない場合には、属性組み合わせAを包含する属性組み合わせを、処理すべき属性組み合わせから除外する旨の除外指示を高リスク属性抽出部132に出力する。なお、属性組み合わせAで特定できる行は、属性組み合わせAを包含する属性組み合わせでも当然特定できる。このため、属性組み合わせAで特定できる行が十分多く、そのリスクが出力されていれば、属性組み合わせAに関するそれ以外の情報は必要性が低くなるため、除外しても構わない。属性組み合わせAを包含する属性組み合わせを除外することで、処理量を低減できる。また、出力されるリスク情報が簡潔になり、ユーザが理解しやすくなる。
The risk
出力制御部136は、高リスク属性抽出部132から出力指示が入力されると、リスク情報記憶部124からリスク情報を読み出す。出力制御部136は、読み出したリスク情報を属性組み合わせにおける優先度が高い順に並び替える。出力制御部136は、並び替えたリスク情報に基づいて出力画面を生成する。出力制御部136は、生成した出力画面を表示部111に出力して表示させる。つまり、出力制御部136は、リスク情報を表示部111に表示させる。すなわち、出力制御部136は、属性組み合わせと、行の数と、行番号と、特定情報と、影響情報とを有するリスク情報を表示部111に表示させる。言い換えると、出力制御部136は、抽出された組み合わせにおける漏洩リスクが高い順に、影響度が所定の条件を満たす属性と対応付けられた抽出された組み合わせをリスク情報として出力する。
When an output instruction is input from the high risk attribute extraction unit 132, the
すなわち、出力制御部136は、孤立エントリ抽出部133で属性組み合わせに対応して抽出された行に対応する、リスク情報抽出部135で抽出された行番号、特定情報および影響情報をリスク情報に含めて出力する。言い換えると、出力制御部136は、抽出された組み合わせに対応する抽出されたエントリの情報をリスク情報に含めて出力する。
That is, the
また、出力制御部136は、影響情報の機微度が高い行を優先してリスク情報を出力する。すなわち、出力制御部136は、影響度が高い、つまり、抽出された組み合わせに対応付ける属性の機微度が高い抽出されたエントリを優先してリスク情報を出力する。
Further, the
さらに、出力制御部136は、1つの属性組み合わせに対応付けられる影響情報について、複数の属性または属性値のうち、当該属性値の機微度が高い属性または属性値を優先して対応付けてリスク情報を出力する。すなわち、出力制御部136は、抽出された組み合わせに、機微度が高い属性を優先して対応付けてリスク情報を出力する。
Further, the
また、出力制御部136は、それぞれの属性組み合わせに対応する行の数、つまり、抽出された組み合わせに対応する抽出されたエントリ数をリスク情報に含めて出力する。
Further, the
次に、実施例の漏洩リスク提供装置100の動作について説明する。図9は、実施例のリスク提供処理の一例を示すフローチャートである。
Next, operation | movement of the leakage
受付部131は、入力部110から個票データT、優先度情報Sおよび閾値群Pが入力されると、入力された個票データT、優先度情報Sおよび閾値群Pを受け付ける(ステップS1)。受付部131は、受け付けた個票データT、優先度情報Sおよび閾値群Pを、それぞれ個票データ記憶部121、優先度情報記憶部122および閾値記憶部123に記憶するとともに、属性組み合わせ抽出指示を高リスク属性抽出部132に出力する。
When receiving the individual vote data T, the priority information S, and the threshold value group P from the input unit 110, the accepting unit 131 accepts the inputted individual vote data T, the priority information S, and the threshold value group P (step S1). . The receiving unit 131 stores the received individual vote data T, the priority information S, and the threshold value group P in the individual vote
高リスク属性抽出部132は、受付部131から属性組み合わせ抽出指示が入力されると、優先度情報記憶部122から優先度情報Sに含まれる各属性の機微度を読み出す。高リスク属性抽出部132は、読み出した各属性の機微度に基づいて、個票データ記憶部121を参照し、個票データTの属性について、全属性の組み合わせを生成する。高リスク属性抽出部132は、生成した全属性の組み合わせについて、組み合わせ内の属性の機微度の積に基づいて優先度を算出する。
When the attribute combination extraction instruction is input from the reception unit 131, the high risk attribute extraction unit 132 reads the sensitivity of each attribute included in the priority information S from the priority
高リスク属性抽出部132は、算出した優先度に基づいて、優先度が所定の条件を満たす属性組み合わせを抽出する。高リスク属性抽出部132は、まだ処理すべき属性組み合わせがあるか否かを判定する(ステップS2)。高リスク属性抽出部132は、処理すべき属性組み合わせがある場合には(ステップS2:肯定)、処理すべき属性組み合わせのうち、最も優先度が高い属性組み合わせを属性組み合わせAとして選択する(ステップS3)。高リスク属性抽出部132は、選択した属性組み合わせAを孤立エントリ抽出部133に出力する。 The high risk attribute extraction unit 132 extracts attribute combinations whose priority satisfies a predetermined condition based on the calculated priority. The high risk attribute extraction unit 132 determines whether there is an attribute combination to be processed yet (step S2). When there is an attribute combination to be processed (step S2: affirmative), the high risk attribute extraction unit 132 selects the attribute combination with the highest priority among the attribute combinations to be processed as the attribute combination A (step S3). ). The high risk attribute extraction unit 132 outputs the selected attribute combination A to the isolated entry extraction unit 133.
孤立エントリ抽出部133は、高リスク属性抽出部132から属性組み合わせAが入力されると、属性組み合わせAの値の度数分布Fを算出する(ステップS4)。孤立エントリ抽出部133は、算出した度数分布Fに閾値p1未満の度数があるか否かを判定する(ステップS5)。孤立エントリ抽出部133は、度数分布Fに閾値p1未満の度数がない場合には(ステップS5:否定)、次の属性組み合わせAを選択する旨の選択指示を高リスク属性抽出部132に出力してステップS2に戻る。 When the attribute combination A is input from the high risk attribute extraction unit 132, the isolated entry extraction unit 133 calculates the frequency distribution F of the value of the attribute combination A (step S4). The isolated entry extraction unit 133 determines whether or not the calculated frequency distribution F has a frequency less than the threshold value p1 (step S5). The isolated entry extraction unit 133 outputs a selection instruction for selecting the next attribute combination A to the high risk attribute extraction unit 132 when the frequency distribution F does not have a frequency less than the threshold value p1 (No at Step S5). The process returns to step S2.
孤立エントリ抽出部133は、度数分布Fに閾値p1未満の度数がある場合には(ステップS5:肯定)、個票データ記憶部121を参照し、度数が閾値p1未満の行について総行数を算出する(ステップS6)。また、孤立エントリ抽出部133は、度数が閾値p1未満の行を影響度算出部134に出力する。
If the frequency distribution F has a frequency less than the threshold value p1 (step S5: Yes), the isolated entry extraction unit 133 refers to the individual
影響度算出部134には、孤立エントリ抽出部133から度数が閾値p1未満の行が入力される。影響度算出部134は、個票データ記憶部121および優先度情報記憶部122を参照し、入力された度数が閾値p1未満の行について、属性組み合わせAに含まれる属性以外の属性の影響度を算出する(ステップS7)。影響度算出部134は、算出した影響度を孤立エントリ抽出部133に出力する。
The influence degree calculation unit 134 receives a row whose frequency is less than the threshold value p <b> 1 from the isolated entry extraction unit 133. The influence degree calculation unit 134 refers to the individual form
孤立エントリ抽出部133は、影響度算出部134から影響度が入力されると、個票データ記憶部121を参照し、度数が閾値p1未満の行のうち、影響度が高い順に閾値p2行未満の行を抽出する(ステップS8)。孤立エントリ抽出部133は、属性組み合わせA、算出した総行数、および、抽出した行をリスク情報抽出部135に出力する。
When the influence level is input from the influence level calculation unit 134, the isolated entry extraction unit 133 refers to the individual form
リスク情報抽出部135は、孤立エントリ抽出部133から属性組み合わせA、算出した総行数、および、抽出した行が入力されると、個票データ記憶部121を参照し、抽出した行について行番号、特定情報および影響情報を抽出する(ステップS9)。リスク情報抽出部135は、属性組み合わせAと、算出した総行数と、抽出した行番号、特定情報および影響情報とを優先度順にリスク情報記憶部124に記憶する(ステップS10)。
When the attribute combination A, the calculated total number of rows, and the extracted rows are input from the isolated entry extraction unit 133, the risk
リスク情報抽出部135は、リスク情報記憶部124を参照し、リスク情報の総行数が閾値p3未満であるか否かを判定する(ステップS11)。リスク情報抽出部135は、リスク情報の総行数が閾値p3未満である場合には(ステップS11:肯定)、次の属性組み合わせAを選択する旨の選択指示を高リスク属性抽出部132に出力してステップS2に戻る。
The risk
リスク情報抽出部135は、リスク情報の総行数が閾値p3未満でない場合には(ステップS11:否定)、属性組み合わせAを包含する属性組み合わせを、処理すべき属性組み合わせから除外する。すなわち、リスク情報抽出部135は、除外指示を高リスク属性抽出部132に出力する(ステップS12)。高リスク属性抽出部132は、リスク情報抽出部135から除外指示が入力されると、除外指示に含まれる属性組み合わせAを包含する属性組み合わせを、処理すべき属性組み合わせから除外して、ステップS2に戻る。
When the total number of lines of risk information is not less than the threshold value p3 (No at Step S11), the risk
高リスク属性抽出部132は、処理すべき属性組み合わせがない場合には(ステップS2:否定)、出力制御部136に出力指示を出力する。出力制御部136は、高リスク属性抽出部132から出力指示が入力されると、リスク情報記憶部124からリスク情報を読み出す。出力制御部136は、読み出したリスク情報を属性組み合わせにおける優先度が高い順に並び替える。出力制御部136は、並び替えたリスク情報を含む出力画面を表示部111に表示させる(ステップS13)。これにより、漏洩リスク提供装置100は、漏洩リスクの判断の精度を高めることができる。
If there is no attribute combination to be processed (No at Step S2), the high risk attribute extraction unit 132 outputs an output instruction to the
続いて、リスク提供処理の具体例について説明する。なお、以下の説明では、個票データTとして図6に示す個票データ記憶部121に記憶された個票データを用い、優先度情報Sとして図7に示す優先度情報記憶部122に記憶された優先度情報を用いる。また、閾値群Pとして、閾値p1=2、閾値p2=3、および、閾値p3=2を用いる。なお、以下の説明では、リスク提供処理の各ステップにおける具体例に着目して説明し、各部の動作の詳細については省略する。
Next, a specific example of risk provision processing will be described. In the following description, the individual form data stored in the individual form
ステップS1において、受付部131は、個票データT、優先度情報Sおよび閾値群Pを受け付ける。また、高リスク属性抽出部132は、各属性の機微度に基づいて、個票データTの属性について、全属性の組み合わせを生成する。高リスク属性抽出部132は、生成した全属性の組み合わせについて、組み合わせ内の属性の機微度の積に基づいて優先度を算出する。 In step S <b> 1, the receiving unit 131 receives the individual slip data T, the priority information S, and the threshold value group P. Further, the high risk attribute extraction unit 132 generates a combination of all attributes for the attributes of the individual vote data T based on the sensitivity of each attribute. The high-risk attribute extraction unit 132 calculates a priority for the generated combination of all attributes based on the product of the sensitivity of the attributes in the combination.
ステップS2において、高リスク属性抽出部132は、算出した優先度に基づいて、優先度が所定の条件を満たす属性組み合わせを抽出する。抽出される属性組み合わせは、{生年}、{国籍}、{診察結果}、{生年,国籍}、{生年,診察結果}、{国籍,診察結果}、{生年,国籍,診察結果}の7つとなる。高リスク属性抽出部132は、処理すべき属性組み合わせがあると判定する。 In step S2, the high risk attribute extraction unit 132 extracts attribute combinations whose priority satisfies a predetermined condition based on the calculated priority. The attribute combinations to be extracted are {birth year}, {nationality}, {diagnosis result}, {birth year, nationality}, {birth year, medical examination result}, {nationality, medical examination result}, {birth year, nationality, medical examination result}. Become one. The high risk attribute extraction unit 132 determines that there is an attribute combination to be processed.
ステップS3において、7つの属性組み合わせのうち、最も優先度が高い属性組み合わせは、機微度の積が「2」の{生年}であるので、高リスク属性抽出部132は、{生年}を属性組み合わせAとして選択する。 In step S3, among the seven attribute combinations, the attribute combination with the highest priority is {birth year} with a product of “2”, so the high-risk attribute extraction unit 132 sets {birth year} to the attribute combination. Select as A.
ステップS4において、孤立エントリ抽出部133は、属性組み合わせAの値の個票データTにおける度数分布Fとして、個票データTの{生年}の値を計数する。すなわち、孤立エントリ抽出部133は、属性値「4?」の度数が「3」、属性値「5?」の度数が「2」であるので、F={(4?):3,(5?):2}と計数する。 In step S4, the isolated entry extraction unit 133 counts the {birth year} value of the individual vote data T as the frequency distribution F in the individual vote data T of the value of the attribute combination A. That is, since the frequency of the attribute value “4?” Is “3” and the frequency of the attribute value “5?” Is “2”, the isolated entry extraction unit 133 has F = {(4?): 3, (5 ?): Count as 2}.
ステップS5において、孤立エントリ抽出部133は、算出した度数分布Fに閾値p1=2未満の度数があるか否かを判定すると、閾値p1=2未満の度数はないため、ステップS2に戻る。 In step S5, when the isolated entry extraction unit 133 determines whether or not the calculated frequency distribution F includes a frequency less than the threshold p1 = 2, the frequency returns to step S2 because there is no frequency less than the threshold p1 = 2.
ステップS2において、{生年}は処理済みであるので、処理すべき属性組み合わせは、{国籍}、{診察結果}、{生年,国籍}、{生年,診察結果}、{国籍,診察結果}、{生年,国籍,診察結果}の6つとなる。高リスク属性抽出部132は、処理すべき属性組み合わせがあると判定する。 In step S2, since {birth year} has been processed, the attribute combinations to be processed are {nationality}, {diagnosis result}, {birth year, nationality}, {birth year, diagnosis result}, {nationality, diagnosis result}, {Birth year, nationality, results of examination}. The high risk attribute extraction unit 132 determines that there is an attribute combination to be processed.
ステップS3において、6つの属性組み合わせのうち、最も優先度が高い属性組み合わせは、機微度の積が「10」の{国籍}であるので、高リスク属性抽出部132は、{国籍}を属性組み合わせAとして選択する。 In step S3, the attribute combination having the highest priority among the six attribute combinations is {nationality} having a product of “10”, so the high-risk attribute extraction unit 132 sets {nationality} to the attribute combination. Select as A.
ステップS4において、孤立エントリ抽出部133は、属性組み合わせAの値の個票データTにおける度数分布Fとして、個票データTの{国籍}の値を計数する。すなわち、孤立エントリ抽出部133は、属性値「日本」の度数が「2」、属性値「中国」の度数が「3」であるので、F={(日本):2,(中国):3}と計数する。 In step S4, the isolated entry extraction unit 133 counts the value of {nationality} of the individual data T as the frequency distribution F in the individual data T of the attribute combination A value. That is, since the frequency of the attribute value “Japan” is “2” and the frequency of the attribute value “China” is “3”, the isolated entry extraction unit 133 has F = {(Japan): 2, (China): 3. }.
ステップS5において、孤立エントリ抽出部133は、算出した度数分布Fに閾値p1=2未満の度数があるか否かを判定すると、閾値p1=2未満の度数はないため、ステップS2に戻る。 In step S5, when the isolated entry extraction unit 133 determines whether or not the calculated frequency distribution F includes a frequency less than the threshold p1 = 2, the frequency returns to step S2 because there is no frequency less than the threshold p1 = 2.
ステップS2において、{生年}、{国籍}は処理済みであるので、処理すべき属性組み合わせは、{診察結果}、{生年,国籍}、{生年,診察結果}、{国籍,診察結果}、{生年,国籍,診察結果}の5つとなる。高リスク属性抽出部132は、処理すべき属性組み合わせがあると判定する。 In step S2, since {birth year} and {nationality} have been processed, the attribute combinations to be processed are {diagnosis result}, {birth year, nationality}, {birth year, diagnosis result}, {nationality, diagnosis result}, {Birth year, nationality, results of examination}. The high risk attribute extraction unit 132 determines that there is an attribute combination to be processed.
ステップS3において、5つの属性組み合わせのうち、最も優先度が高い属性組み合わせは、機微度の積が「2×10=20」の{生年,国籍}であるので、高リスク属性抽出部132は、{生年,国籍}を属性組み合わせAとして選択する。 In step S3, the attribute combination having the highest priority among the five attribute combinations is {2 * 10 = 20] {birth year, nationality}, so the high risk attribute extraction unit 132 Select {birth year, nationality} as attribute combination A.
ステップS4において、孤立エントリ抽出部133は、属性組み合わせAの値の個票データTにおける度数分布Fとして、個票データTの{生年,国籍}の値を計数する。すなわち、孤立エントリ抽出部133は、F={(4?,日本):2,(4?,中国):1,(5?,中国):2}と計数する。 In step S4, the isolated entry extraction unit 133 counts the {birth year, nationality} value of the individual vote data T as the frequency distribution F in the individual vote data T of the value of the attribute combination A. That is, the isolated entry extraction unit 133 counts F = {(4 ?, Japan): 2, (4 ?, China): 1, (5 ?, China): 2}.
ステップS5において、孤立エントリ抽出部133は、算出した度数分布Fに閾値p1=2未満の度数があるか否かを判定すると、閾値p1=2未満の度数はあるため、ステップS6に進む。 In step S5, when the isolated entry extraction unit 133 determines whether or not the calculated frequency distribution F includes a frequency less than the threshold p1 = 2, since there is a frequency less than the threshold p1 = 2, the process proceeds to step S6.
ステップS6において、孤立エントリ抽出部133は、度数が閾値p1未満の行が{(4?,中国):1}のみであるので、総行数を{1}と算出する。 In step S6, the isolated entry extraction unit 133 calculates {1} as the total number of rows because the number of rows whose frequency is less than the threshold p1 is only {(4 ?, China): 1}.
ステップS7において、影響度算出部134は、{(4?,中国):1}である行番号「3」の行について、{生年,国籍}以外の属性の影響度を算出する。影響度算出部134は、属性「診察結果」の属性値「肝炎」の機微度「80」を影響度として算出する。なお、属性値が複数ある場合には、それぞれの機微度を加算または乗算して影響度としてもよいし、最大の機微度を影響度としてもよい。 In step S <b> 7, the influence degree calculation unit 134 calculates the influence degree of an attribute other than {birth year, nationality} for the line with the line number “3” which is {(4 ?, China): 1}. The influence degree calculation unit 134 calculates the sensitivity “80” of the attribute value “hepatitis” of the attribute “diagnosis result” as the influence degree. When there are a plurality of attribute values, the degree of influence may be obtained by adding or multiplying each degree of sensitivity, or the maximum degree of sensitivity may be used as the degree of influence.
ステップS8において、孤立エントリ抽出部133は、度数が閾値p1未満の行のうち、影響度が高い順に閾値p2=3行未満の行を抽出する。ここでは、度数が閾値p1未満の行は、行番号「3」の行だけであるので、行番号「3」の行が抽出される。 In step S <b> 8, the isolated entry extraction unit 133 extracts rows with the threshold value p <b> 2 = 3 rows in descending order of influence from the rows with the frequency less than the threshold value p <b> 1. Here, since the row whose frequency is less than the threshold p1 is only the row with the row number “3”, the row with the row number “3” is extracted.
ステップS9において、リスク情報抽出部135は、抽出された行番号「3」の行について、行番号{3}、特定情報{生年:4?,国籍:中国}および影響情報{診察結果:肝炎}を抽出する。
In step S9, the risk
ステップS10において、リスク情報抽出部135は、属性組み合わせ{生年,国籍}と、総行数{1}と、行番号{3}と、特定情報{生年:4?,国籍:中国}と、影響情報{診察結果:肝炎}とを優先度順にリスク情報記憶部124に記憶する。なお、属性組み合わせ{生年,国籍}の優先度は「20」であるが、行番号{3}の1行だけであるので、この1行がリスク情報記憶部124に記憶される。図10は、リスク情報記憶部の処理途中の一例を示す図である。図10に示すリスク情報記憶部124aは、ステップ10においてリスク情報がリスク情報記憶部124に記憶された状態を示す。なお、リスク情報は、ステップS6〜S9の処理によって優先度順に並ぶこととなる。
In step S10, the risk
ステップS11において、リスク情報抽出部135は、リスク情報の総行数「1」が閾値p3=2未満であると判定するので、選択指示を高リスク属性抽出部132に出力してステップS2に戻る。
In step S11, the risk
ステップS2において、{生年}、{国籍}、{生年,国籍}は処理済みであるので、処理すべき属性組み合わせは、{診察結果}、{生年,診察結果}、{国籍,診察結果}、{生年,国籍,診察結果}の4つとなる。高リスク属性抽出部132は、処理すべき属性組み合わせがあると判定する。 In step S2, {birth year}, {nationality}, and {birth year, nationality} have been processed, so the attribute combinations to be processed are {diagnosis result}, {birth year, diagnosis result}, {nationality, diagnosis result}, {Birth year, nationality, results of examination}. The high risk attribute extraction unit 132 determines that there is an attribute combination to be processed.
ステップS3において、4つの属性組み合わせのうち、最も優先度が高い属性組み合わせは、機微度の積が「100」の{診察結果}であるので、高リスク属性抽出部132は、{診察結果}を属性組み合わせAとして選択する。 In step S3, the attribute combination with the highest priority among the four attribute combinations is {diagnosis result} having a product of “100”, so the high-risk attribute extraction unit 132 sets {diagnosis result}. Select as attribute combination A.
ステップS4において、孤立エントリ抽出部133は、属性組み合わせAの値の個票データTにおける度数分布Fとして、個票データTの{診察結果}の値を計数する。すなわち、孤立エントリ抽出部133は、F={(肺癌):1,(HIV):1,(肝炎):1,(風邪):2}と計数する。 In step S4, the isolated entry extraction unit 133 counts the {diagnosis result} values of the individual vote data T as the frequency distribution F in the individual vote data T of the value of the attribute combination A. That is, the isolated entry extraction unit 133 counts F = {(lung cancer): 1, (HIV): 1, (hepatitis): 1, (cold): 2}.
ステップS5において、孤立エントリ抽出部133は、算出した度数分布Fに閾値p1=2未満の度数があるか否かを判定すると、閾値p1=2未満の度数はあるため、ステップS6に進む。 In step S5, when the isolated entry extraction unit 133 determines whether or not the calculated frequency distribution F includes a frequency less than the threshold p1 = 2, since there is a frequency less than the threshold p1 = 2, the process proceeds to step S6.
ステップS6において、孤立エントリ抽出部133は、度数が閾値p1未満の行が{(肺癌):1,(HIV):1,(肝炎):1}であるので、総行数を{3}と算出する。 In step S6, the isolated entry extraction unit 133 sets {3} as the total number of rows because the row whose frequency is less than the threshold p1 is {(lung cancer): 1, (HIV): 1, (hepatitis): 1}. calculate.
ステップS7において、影響度算出部134は、{(肺癌):1,(HIV):1,(肝炎):1}である行番号「1」、「2」、「3」の行について、{診察結果}以外の属性の影響度を算出する。{診察結果}以外の属性の機微度のうち最大の機微度は、いずれも属性「国籍」の「10」である。この場合には、次に最大の機微度を比較するが、次に最大の機微度についても、いずれも属性「生年」の「2」である。本具体例では、他に属性がないため、行番号が小さい行を優先する。 In step S <b> 7, the influence degree calculation unit 134 determines {{lung cancer): 1, (HIV): 1, (hepatitis): 1} for the row numbers “1”, “2”, “3” { The degree of influence of attributes other than the diagnosis result} is calculated. The maximum sensitivity of the attributes other than {diagnosis result} is “10” of the attribute “nationality”. In this case, the next highest sensitivity is compared, and the next highest sensitivity is also “2” of the attribute “birth year”. In this specific example, since there are no other attributes, priority is given to a line with a small line number.
ステップS8において、孤立エントリ抽出部133は、度数が閾値p1未満の行のうち、影響度が高い順に閾値p2=3行未満の行を抽出する。つまり、度数が閾値p1未満の行は3行あるが、行番号が小さい行から順に2行を抽出する。すなわち、孤立エントリ抽出部133は、行番号「1」、「2」の行を抽出する。 In step S <b> 8, the isolated entry extraction unit 133 extracts rows with the threshold value p <b> 2 = 3 rows in descending order of influence from the rows with the frequency less than the threshold value p <b> 1. That is, although there are three rows whose frequency is less than the threshold value p1, two rows are extracted in order from the row with the smallest row number. That is, the isolated entry extraction unit 133 extracts the lines with the line numbers “1” and “2”.
ステップS9において、リスク情報抽出部135は、抽出された行番号「1」、「2」の行について、それぞれ、行番号、特定情報および影響情報を抽出する。行番号「1」は、行番号{1}、特定情報{診察結果:肺癌}および影響情報{国籍:日本,生年:4?}が抽出される。行番号「2」は、行番号{2}、特定情報{診察結果:HIV}および影響情報{国籍:日本,生年:4?}が抽出される。
In step S9, the risk
ステップS10において、リスク情報抽出部135は、属性組み合わせ{診察結果}と、総行数{3}と、行番号{1}および{2}にそれぞれ対応する特定情報および影響情報とを優先度順にリスク情報記憶部124に記憶する。ここでは、上述の通り行番号{1}と{2}とは優先度が同じであるので、行番号の若い順にリスク情報記憶部124に記憶される。なお、影響情報内の属性値の並び順は、各属性値の影響度(機微度)が大きい順、つまり、影響度「10」の国籍、影響度「2」の生年の順となる。この状態におけるリスク情報記憶部124は、図8に示すリスク情報記憶部124の状態となる。
In step S10, the risk
ステップS11において、リスク情報抽出部135は、リスク情報の総行数「3」が閾値p3=2未満でないと判定する。
In step S <b> 11, the risk
ステップS12において、リスク情報抽出部135は、除外指示を高リスク属性抽出部132に出力する。高リスク属性抽出部132は、属性組み合わせ{診察結果}を包含する属性組み合わせを、処理すべき属性組み合わせから除外して、ステップS2に戻る。
In step S <b> 12, the risk
ステップS2において、{生年}、{国籍}、{生年,国籍}は処理済みであり、高リスク属性抽出部132は、残りの属性組み合わせ{生年,診察結果}、{国籍,診察結果}、{生年,国籍,診察結果}から、{診察結果}を包含する属性組み合わせを除外する。高リスク属性抽出部132は、処理すべき属性組み合わせがないと判定し、出力制御部136に出力指示を出力する。
In step S2, {birth year}, {nationality}, {birth year, nationality} have been processed, and the high-risk attribute extraction unit 132 performs the remaining attribute combinations {birth year, medical examination result}, {nationality, medical examination result}, { The attribute combination including {diagnosis result} is excluded from the birth year, nationality, and diagnosis result}. The high risk attribute extraction unit 132 determines that there is no attribute combination to be processed, and outputs an output instruction to the
ステップS13において、出力制御部136は、リスク情報記憶部124からリスク情報を読み出し、リスク情報を属性組み合わせにおける優先度が高い順に並び替える。出力制御部136は、並び替えたリスク情報を含む出力画面を表示部111に表示させる。なお、上述の通り、リスク情報が既に優先度順であればそのまま出力する。このように、漏洩リスク提供装置100は、高リスクのプライバシー侵害の具体例を効率的に把握できるので、漏洩リスクの判断の精度を高めることができる。また、漏洩リスク提供装置100は、属性組み合わせを機微度の積が小さいものから出力するので、効果的な匿名化方法を分析しやすい。つまり、効果的な匿名化は、知ることが容易な属性で行特定できることを防ぐことであり、機微度の積が小さい属性は、知ることが容易な場合が多いと考えられるためである。
In step S13, the
また、漏洩リスク提供装置100は、影響度、つまり影響情報の機微度が大きいものから出力するので、匿名化の必要性の判断において、効率を向上させることができる。すなわち、匿名化の必要性の判断のためには、最大リスクの分析が求められるが、リスクは影響情報の機微度に比例すると考えられるためである。
Moreover, since the leakage
このように、漏洩リスク提供装置100は、複数の属性が与えられたエントリの集合である個票データにおける属性のそれぞれの機微度を記憶する記憶部120を有する。また、漏洩リスク提供装置100は、機微度に基づいて、属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する。また、漏洩リスク提供装置100は、抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出する。また、漏洩リスク提供装置100は、機微度に基づいて、抽出されたエントリにおける抽出された組み合わせに含まれる属性以外の属性の影響度を算出する。また、漏洩リスク提供装置100は、抽出された組み合わせと、影響度が所定の条件を満たす属性とを対応付ける。その結果、漏洩リスクの判断の精度を高めることができる。
As described above, the leakage
また、漏洩リスク提供装置100は、属性の組み合わせに含まれる属性の機微度の積を用いて漏洩リスクを算出する。その結果、知られやすい属性順にリスク情報を算出できる。
In addition, the leakage
また、漏洩リスク提供装置100は、抽出された組み合わせにおける漏洩リスクが高い順に、影響度が所定の条件を満たす属性と対応付けられた抽出された組み合わせをリスク情報として出力する。その結果、高リスクのプライバシー侵害を効率的に把握できる。
Further, the leakage
また、漏洩リスク提供装置100は、抽出された組み合わせに対応する抽出されたエントリの情報をリスク情報に含めて出力する。その結果、漏洩リスクの判断の精度を高めることができる。
Further, the leakage
また、漏洩リスク提供装置100は、抽出された組み合わせに対応付ける属性の機微度が高い抽出されたエントリを優先してリスク情報を出力する。その結果、知られると影響が大きい属性順にエントリを出力できる。
Further, the leakage
また、漏洩リスク提供装置100は、抽出された組み合わせに、機微度が高い属性を優先して対応付けてリスク情報を出力する。その結果、エントリ内で知られると影響が大きい属性順に影響情報を出力できる。
In addition, the leakage
また、漏洩リスク提供装置100は、抽出された組み合わせに対応する抽出されたエントリ数をリスク情報に含めて出力する。その結果、個票データのうち、どれだけの情報が特定できるかを把握できる。
Moreover, the leakage
また、漏洩リスク提供装置100は、属性の組み合わせに、他の属性の組み合わせが含まれる場合には、他の属性の組み合わせが含まれる属性の組み合わせを除外して、漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する。その結果、処理量を低減できる。また、出力されるリスク情報が簡潔となるので、ユーザが理解しやすくなる。
In addition, when the combination of attributes includes a combination of other attributes, the leakage
なお、上記実施例では、個票データの一例として、医療機関の診察結果を用いたが、これに限定されない。例えば、店舗等における会員登録の情報や、各種アンケート結果等に対して適用してもよい。 In the above embodiment, the medical examination result is used as an example of the individual slip data. However, the present invention is not limited to this. For example, the present invention may be applied to member registration information in stores, various questionnaire results, and the like.
また、図示した各部の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、孤立エントリ抽出部133と影響度算出部134とを統合してもよい。また、図示した各処理は、上記の順番に限定されるものではなく、処理内容を矛盾させない範囲において、同時に実施してもよく、順序を入れ替えて実施してもよい。 In addition, each component of each part illustrated does not necessarily need to be physically configured as illustrated. In other words, the specific form of distribution / integration of each unit is not limited to that shown in the figure, and all or a part thereof may be functionally or physically distributed / integrated in arbitrary units according to various loads or usage conditions. Can be configured. For example, the isolated entry extraction unit 133 and the influence degree calculation unit 134 may be integrated. In addition, the illustrated processes are not limited to the above-described order, and may be performed at the same time as long as the process contents are not contradictory, or may be performed in a different order.
さらに、各装置で行われる各種処理機能は、CPU(またはMPU、MCU(Micro Controller Unit)等のマイクロ・コンピュータ)上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、CPU(またはMPU、MCU等のマイクロ・コンピュータ)で解析実行されるプログラム上、またはワイヤードロジックによるハードウェア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。 Furthermore, various processing functions performed in each device may be executed entirely or arbitrarily on a CPU (or a microcomputer such as an MPU or MCU (Micro Controller Unit)). In addition, various processing functions may be executed in whole or in any part on a program that is analyzed and executed by a CPU (or a microcomputer such as an MPU or MCU) or on hardware based on wired logic. Needless to say, it is good.
ところで、上記の実施例で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施例と同様の機能を有するプログラムを実行するコンピュータの一例を説明する。図11は、漏洩リスク提供プログラムを実行するコンピュータの一例を示す図である。 By the way, the various processes described in the above embodiments can be realized by executing a program prepared in advance by a computer. Therefore, in the following, an example of a computer that executes a program having the same function as in the above embodiment will be described. FIG. 11 is a diagram illustrating an example of a computer that executes a leakage risk providing program.
図11に示すように、コンピュータ200は、各種演算処理を実行するCPU201と、データ入力を受け付ける入力装置202と、モニタ203とを有する。また、コンピュータ200は、記憶媒体からプログラム等を読み取る媒体読取装置204と、各種装置と接続するためのインタフェース装置205と、他の情報処理装置等と有線または無線により接続するための通信装置206とを有する。また、コンピュータ200は、各種情報を一時記憶するRAM207と、ハードディスク装置208とを有する。また、各装置201〜208は、バス209に接続される。
As illustrated in FIG. 11, the
ハードディスク装置208には、図1に示した受付部131、高リスク属性抽出部132、孤立エントリ抽出部133、影響度算出部134、リスク情報抽出部135および出力制御部136の各処理部と同様の機能を有する漏洩リスク提供プログラムが記憶される。また、ハードディスク装置208には、個票データ記憶部121、優先度情報記憶部122、閾値記憶部123、リスク情報記憶部124、および、漏洩リスク提供プログラムを実現するための各種データが記憶される。入力装置202は、例えば、コンピュータ200のユーザから操作情報等の各種情報の入力を受け付ける。モニタ203は、例えば、コンピュータ200のユーザに対して出力画面等の各種画面を表示する。媒体読取装置204は、記憶媒体から個票データT、優先度情報Sおよび閾値群Pを読み取る。インタフェース装置205は、例えば印刷装置等が接続される。通信装置206は、例えば、図示しないネットワークと接続され、他の情報処理装置と各種情報をやりとりする。
The
CPU201は、ハードディスク装置208に記憶された各プログラムを読み出して、RAM207に展開して実行することで、各種の処理を行う。また、これらのプログラムは、コンピュータ200を図1に示した受付部131、高リスク属性抽出部132、孤立エントリ抽出部133、影響度算出部134、リスク情報抽出部135および出力制御部136として機能させることができる。
The
なお、上記の漏洩リスク提供プログラムは、必ずしもハードディスク装置208に記憶されている必要はない。例えば、コンピュータ200が読み取り可能な記憶媒体に記憶されたプログラムを、コンピュータ200が読み出して実行するようにしてもよい。コンピュータ200が読み取り可能な記憶媒体は、例えば、CD−ROMやDVDディスク、USBメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、LAN等に接続された装置にこの漏洩リスク提供プログラムを記憶させておき、コンピュータ200がこれらから漏洩リスク提供プログラムを読み出して実行するようにしてもよい。
Note that the above leakage risk providing program is not necessarily stored in the
以上、本実施例を含む実施の形態に関し、さらに以下の付記を開示する。 As described above, the following supplementary notes are further disclosed regarding the embodiment including the present example.
(付記1)複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する記憶部と、
前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する属性抽出部と、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出するエントリ抽出部と、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出する影響度算出部と、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付けるリスク情報作成部と、
を有することを特徴とする漏洩リスク提供装置。
(Supplementary Note 1) A storage unit that stores the sensitivity of each of the attributes in the piece data that is a set of entries given a plurality of attributes;
Based on the sensitivity, an attribute extraction unit that calculates a leakage risk for each combination of attributes, and extracts a combination of attributes for which the leakage risk satisfies a predetermined condition;
For each of the extracted combinations, an entry extraction unit that extracts entries in which the number of entries specified by the value of the attribute included in the combination satisfies a predetermined condition;
Based on the sensitivity, an influence degree calculating unit that calculates an influence degree of an attribute other than the attribute included in the extracted combination in the extracted entry;
A risk information creation unit for associating the extracted combination with an attribute for which the degree of influence satisfies a predetermined condition;
A leakage risk providing apparatus characterized by comprising:
(付記2)前記属性抽出部は、前記属性の組み合わせに含まれる前記属性の前記機微度の積を用いて前記漏洩リスクを算出する、
ことを特徴とする付記1に記載の漏洩リスク提供装置。
(Additional remark 2) The said attribute extraction part calculates the said leakage risk using the product of the said sensitivity of the said attribute contained in the combination of the said attribute,
The leakage risk providing apparatus according to
(付記3)さらに、前記抽出された組み合わせにおける前記漏洩リスクが高い順に、前記影響度が所定の条件を満たす属性と対応付けられた前記抽出された組み合わせをリスク情報として出力する出力制御部、
を有することを特徴とする付記1または2に記載の漏洩リスク提供装置。
(Additional remark 3) Furthermore, the output control part which outputs the said extracted combination matched with the attribute with which the said influence degree satisfy | fills a predetermined condition as risk information in order with the said high leak risk in the said extracted combination,
The leakage risk providing apparatus according to
(付記4)前記出力制御部は、前記抽出された組み合わせに対応する前記抽出されたエントリの情報を前記リスク情報に含めて出力する、
ことを特徴とする付記3に記載の漏洩リスク提供装置。
(Supplementary Note 4) The output control unit outputs information on the extracted entry corresponding to the extracted combination included in the risk information.
The leakage risk providing apparatus according to
(付記5)前記出力制御部は、前記抽出された組み合わせに対応付ける前記属性の前記機微度が高い前記抽出されたエントリを優先して前記リスク情報を出力する、
ことを特徴とする付記4に記載の漏洩リスク提供装置。
(Supplementary Note 5) The output control unit outputs the risk information in preference to the extracted entry having the high sensitivity of the attribute associated with the extracted combination.
The leakage risk providing apparatus according to
(付記6)前記出力制御部は、前記抽出された組み合わせに、前記機微度が高い前記属性を優先して対応付けて前記リスク情報を出力する、
ことを特徴とする付記3〜5のいずれか1つに記載の漏洩リスク提供装置。
(Supplementary Note 6) The output control unit outputs the risk information by preferentially associating the attribute with high sensitivity to the extracted combination.
The leakage risk providing apparatus according to any one of
(付記7)前記出力制御部は、前記抽出された組み合わせに対応する前記抽出されたエントリ数を前記リスク情報に含めて出力する、
ことを特徴とする付記3〜6のいずれか1つに記載の漏洩リスク提供装置。
(Supplementary Note 7) The output control unit outputs the risk information including the extracted number of entries corresponding to the extracted combination.
The leakage risk providing apparatus according to any one of
(付記8)前記属性抽出部は、前記属性の組み合わせに、他の前記属性の組み合わせが含まれる場合には、他の前記属性の組み合わせが含まれる前記属性の組み合わせを除外して、前記漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する、
ことを特徴とする付記1〜7のいずれか1つに記載の漏洩リスク提供装置。
(Supplementary note 8) When the attribute combination includes the other attribute combination, the attribute extraction unit excludes the attribute combination including the other attribute combination, and the leakage risk. Extracts combinations of attributes that satisfy a given condition,
The leakage risk providing apparatus according to any one of
(付記9)複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する記憶部に記憶された前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出し、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出し、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出し、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける、
処理をコンピュータが実行することを特徴とする漏洩リスク提供方法。
(Supplementary Note 9) Leakage for each combination of attributes based on the sensitivity stored in the storage unit storing each sensitivity of the attribute in the individual vote data which is a set of entries given a plurality of attributes Calculate the risk, extract the combination of attributes that the leakage risk satisfies the predetermined condition,
For each of the extracted combinations, an entry in which the number of entries specified by the attribute value included in the combination satisfies a predetermined condition is extracted.
Based on the sensitivity, calculate the degree of influence of attributes other than the attributes included in the extracted combination in the extracted entry;
Associating the extracted combination with an attribute for which the degree of influence satisfies a predetermined condition;
A leakage risk providing method, wherein a computer executes processing.
(付記10)前記属性の組み合わせを抽出する処理は、前記属性の組み合わせに含まれる前記属性の前記機微度の積を用いて前記漏洩リスクを算出する、
ことを特徴とする付記9に記載の漏洩リスク提供方法。
(Additional remark 10) The process which extracts the combination of the said attribute calculates the said leakage risk using the product of the said sensitivity of the said attribute contained in the said attribute combination,
The leakage risk providing method according to
(付記11)さらに、前記抽出された組み合わせにおける前記漏洩リスクが高い順に、前記影響度が所定の条件を満たす属性と対応付けられた前記抽出された組み合わせをリスク情報として出力する、
処理をコンピュータが実行することを特徴とする付記9または10に記載の漏洩リスク提供方法。
(Additional remark 11) Furthermore, the said extracted combination matched with the attribute with which the said influence degree satisfy | fills predetermined conditions is output as risk information in order with the said leakage risk in the said extracted combination high,
The leakage risk providing method according to
(付記12)前記出力する処理は、前記抽出された組み合わせに対応する前記抽出されたエントリの情報を前記リスク情報に含めて出力する、
ことを特徴とする付記11に記載の漏洩リスク提供方法。
(Additional remark 12) The said process to output includes the information of the said extracted entry corresponding to the said extracted combination in the said risk information, and outputs,
The leakage risk providing method according to Supplementary Note 11, wherein the leakage risk is provided.
(付記13)前記出力する処理は、前記抽出された組み合わせに対応付ける前記属性の前記機微度が高い前記抽出されたエントリを優先して前記リスク情報を出力する、
ことを特徴とする付記12に記載の漏洩リスク提供方法。
(Additional remark 13) The said process to output outputs the said risk information in preference to the said extracted entry with the said high sensitivity of the said attribute matched with the said extracted combination.
The leakage risk providing method according to supplementary note 12, characterized by:
(付記14)前記出力する処理は、前記抽出された組み合わせに、前記機微度が高い前記属性を優先して対応付けて前記リスク情報を出力する、
ことを特徴とする付記11〜13のいずれか1つに記載の漏洩リスク提供方法。
(Supplementary note 14) In the output process, the extracted combination is preferentially associated with the attribute having high sensitivity, and the risk information is output.
The leakage risk providing method according to any one of appendices 11 to 13, characterized in that:
(付記15)前記出力する処理は、前記抽出された組み合わせに対応する前記抽出されたエントリ数を前記リスク情報に含めて出力する、
ことを特徴とする付記11〜14のいずれか1つに記載の漏洩リスク提供方法。
(Supplementary Note 15) The output process includes outputting the number of extracted entries corresponding to the extracted combination in the risk information,
The leakage risk providing method according to any one of appendices 11 to 14, characterized in that:
(付記16)前記属性の組み合わせを抽出する処理は、前記属性の組み合わせに、他の前記属性の組み合わせが含まれる場合には、他の前記属性の組み合わせが含まれる前記属性の組み合わせを除外して、前記漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する、
ことを特徴とする付記9〜15のいずれか1つに記載の漏洩リスク提供方法。
(Supplementary Note 16) When the attribute combination includes other attribute combinations, the process of extracting the attribute combinations excludes the attribute combinations including other attribute combinations. Extracting a combination of attributes for which the leakage risk satisfies a predetermined condition;
The leakage risk providing method according to any one of
(付記17)複数の属性が与えられたエントリの集合である個票データにおける前記属性のそれぞれの機微度を記憶する記憶部に記憶された前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出し、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出し、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出し、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける、
処理をコンピュータに実行させることを特徴とする漏洩リスク提供プログラム。
(Supplementary Note 17) Leakage for each combination of attributes based on the sensitivity stored in the storage unit storing each sensitivity of the attribute in the individual vote data that is a set of entries given a plurality of attributes Calculate the risk, extract the combination of attributes that the leakage risk satisfies the predetermined condition,
For each of the extracted combinations, an entry in which the number of entries specified by the attribute value included in the combination satisfies a predetermined condition is extracted.
Based on the sensitivity, calculate the degree of influence of attributes other than the attributes included in the extracted combination in the extracted entry;
Associating the extracted combination with an attribute for which the degree of influence satisfies a predetermined condition;
A leakage risk providing program for causing a computer to execute processing.
(付記18)前記属性の組み合わせを抽出する処理は、前記属性の組み合わせに含まれる前記属性の前記機微度の積を用いて前記漏洩リスクを算出する、
ことを特徴とする付記17に記載の漏洩リスク提供プログラム。
(Additional remark 18) The process which extracts the combination of the said attribute calculates the said leakage risk using the product of the said sensitivity of the said attribute contained in the said attribute combination,
The leakage risk providing program according to supplementary note 17, characterized by:
(付記19)さらに、前記抽出された組み合わせにおける前記漏洩リスクが高い順に、前記影響度が所定の条件を満たす属性と対応付けられた前記抽出された組み合わせをリスク情報として出力する、
処理をコンピュータに実行させることを特徴とする付記17または18に記載の漏洩リスク提供プログラム。
(Supplementary note 19) Further, in order from the highest leakage risk in the extracted combination, the extracted combination associated with an attribute whose influence degree satisfies a predetermined condition is output as risk information.
19. The leakage risk providing program according to appendix 17 or 18, which causes a computer to execute processing.
(付記20)前記出力する処理は、前記抽出された組み合わせに対応する前記抽出されたエントリの情報を前記リスク情報に含めて出力する、
ことを特徴とする付記19に記載の漏洩リスク提供プログラム。
(Supplementary note 20) The output process includes outputting information of the extracted entry corresponding to the extracted combination in the risk information,
The leakage risk providing program according to appendix 19, characterized by:
(付記21)前記出力する処理は、前記抽出された組み合わせに対応付ける前記属性の前記機微度が高い前記抽出されたエントリを優先して前記リスク情報を出力する、
ことを特徴とする付記20に記載の漏洩リスク提供プログラム。
(Additional remark 21) The process to output outputs the risk information in preference to the extracted entry having the high sensitivity of the attribute associated with the extracted combination.
The leakage risk providing program according to
(付記22)前記出力する処理は、前記抽出された組み合わせに、前記機微度が高い前記属性を優先して対応付けて前記リスク情報を出力する、
ことを特徴とする付記19〜21のいずれか1つに記載の漏洩リスク提供プログラム。
(Additional remark 22) The process to output outputs the risk information by preferentially associating the attribute with high sensitivity to the extracted combination.
The leakage risk providing program according to any one of supplementary notes 19 to 21, characterized in that:
(付記23)前記出力する処理は、前記抽出された組み合わせに対応する前記抽出されたエントリ数を前記リスク情報に含めて出力する、
ことを特徴とする付記19〜22のいずれか1つに記載の漏洩リスク提供プログラム。
(Supplementary Note 23) In the output process, the risk information includes and outputs the extracted number of entries corresponding to the extracted combination.
The leakage risk providing program according to any one of supplementary notes 19 to 22, characterized in that:
(付記24)前記属性の組み合わせを抽出する処理は、前記属性の組み合わせに、他の前記属性の組み合わせが含まれる場合には、他の前記属性の組み合わせが含まれる前記属性の組み合わせを除外して、前記漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する、
ことを特徴とする付記17〜23のいずれか1つに記載の漏洩リスク提供プログラム。
(Supplementary Note 24) When the attribute combination includes other attribute combinations, the process of extracting the attribute combinations excludes the attribute combinations including other attribute combinations. Extracting a combination of attributes for which the leakage risk satisfies a predetermined condition;
The leakage risk providing program according to any one of supplementary notes 17 to 23, characterized in that:
100 漏洩リスク提供装置
110 入力部
111 表示部
112 操作部
120 記憶部
121 個票データ記憶部
122 優先度情報記憶部
123 閾値記憶部
124 リスク情報記憶部
130 制御部
131 受付部
132 高リスク属性抽出部
133 孤立エントリ抽出部
134 影響度算出部
135 リスク情報抽出部
136 出力制御部
DESCRIPTION OF
Claims (10)
前記機微度に基づいて、前記属性の組み合わせごとに漏洩リスクを算出し、該漏洩リスクが所定の条件を満たす属性の組み合わせを抽出する属性抽出部と、
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出するエントリ抽出部と、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出する影響度算出部と、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付けるリスク情報作成部と、
を有することを特徴とする漏洩リスク提供装置。 A storage unit for storing the sensitivity of each of the attributes in the individual vote data that is a set of entries given a plurality of attributes;
Based on the sensitivity, an attribute extraction unit that calculates a leakage risk for each combination of attributes, and extracts a combination of attributes for which the leakage risk satisfies a predetermined condition;
For each of the extracted combinations, an entry extraction unit that extracts entries in which the number of entries specified by the value of the attribute included in the combination satisfies a predetermined condition;
Based on the sensitivity, an influence degree calculating unit that calculates an influence degree of an attribute other than the attribute included in the extracted combination in the extracted entry;
A risk information creation unit for associating the extracted combination with an attribute for which the degree of influence satisfies a predetermined condition;
A leakage risk providing apparatus characterized by comprising:
ことを特徴とする請求項1に記載の漏洩リスク提供装置。 The attribute extraction unit calculates the leakage risk using a product of the sensitivity of the attributes included in the combination of the attributes;
The leakage risk providing apparatus according to claim 1.
を有することを特徴とする請求項1または2に記載の漏洩リスク提供装置。 Furthermore, an output control unit that outputs the extracted combination associated with an attribute whose influence degree satisfies a predetermined condition in order from the highest leakage risk in the extracted combination as risk information,
The leakage risk providing apparatus according to claim 1, wherein the leakage risk providing apparatus comprises:
ことを特徴とする請求項3に記載の漏洩リスク提供装置。 The output control unit outputs the extracted entry information corresponding to the extracted combination included in the risk information,
The leakage risk providing apparatus according to claim 3.
ことを特徴とする請求項4に記載の漏洩リスク提供装置。 The output control unit outputs the risk information in preference to the extracted entry having a high degree of sensitivity of the attribute associated with the extracted combination;
The leakage risk providing apparatus according to claim 4.
ことを特徴とする請求項3〜5のいずれか1つに記載の漏洩リスク提供装置。 The output control unit preferentially associates the attribute with high sensitivity with the extracted combination and outputs the risk information.
The leakage risk providing apparatus according to any one of claims 3 to 5, wherein
ことを特徴とする請求項3〜6のいずれか1つに記載の漏洩リスク提供装置。 The output control unit outputs the risk information including the extracted number of entries corresponding to the extracted combination.
The leakage risk providing apparatus according to any one of claims 3 to 6, characterized in that:
ことを特徴とする請求項1〜7のいずれか1つに記載の漏洩リスク提供装置。 The attribute extraction unit excludes the combination of the attributes including the combination of the other attributes when the combination of the attributes includes the combination of the other attributes, and the leakage risk is a predetermined condition. Extract combinations of attributes that satisfy
The leakage risk providing apparatus according to any one of claims 1 to 7, wherein
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出し、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出し、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける、
処理をコンピュータが実行することを特徴とする漏洩リスク提供方法。 Based on the sensitivity stored in the storage unit that stores the sensitivity of each attribute in the individual vote data, which is a set of entries given a plurality of attributes, a leakage risk is calculated for each combination of the attributes. , Extract a combination of attributes for which the leakage risk satisfies a predetermined condition,
For each of the extracted combinations, an entry in which the number of entries specified by the attribute value included in the combination satisfies a predetermined condition is extracted.
Based on the sensitivity, calculate the degree of influence of attributes other than the attributes included in the extracted combination in the extracted entry;
Associating the extracted combination with an attribute for which the degree of influence satisfies a predetermined condition;
A leakage risk providing method, wherein a computer executes processing.
前記抽出された組み合わせごとに、当該組み合わせに含まれる属性の値で特定されるエントリ数が所定の条件を満たすエントリを抽出し、
前記機微度に基づいて、前記抽出されたエントリにおける前記抽出された組み合わせに含まれる属性以外の属性の影響度を算出し、
前記抽出された組み合わせと、前記影響度が所定の条件を満たす属性とを対応付ける、
処理をコンピュータに実行させることを特徴とする漏洩リスク提供プログラム。 Based on the sensitivity stored in the storage unit that stores the sensitivity of each attribute in the individual vote data, which is a set of entries given a plurality of attributes, a leakage risk is calculated for each combination of the attributes. , Extract a combination of attributes for which the leakage risk satisfies a predetermined condition,
For each of the extracted combinations, an entry in which the number of entries specified by the attribute value included in the combination satisfies a predetermined condition is extracted.
Based on the sensitivity, calculate the degree of influence of attributes other than the attributes included in the extracted combination in the extracted entry;
Associating the extracted combination with an attribute for which the degree of influence satisfies a predetermined condition;
A leakage risk providing program for causing a computer to execute processing.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2016037904A JP6610334B2 (en) | 2016-02-29 | 2016-02-29 | Leakage risk providing apparatus, leakage risk providing method, and leakage risk providing program |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2016037904A JP6610334B2 (en) | 2016-02-29 | 2016-02-29 | Leakage risk providing apparatus, leakage risk providing method, and leakage risk providing program |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2017156878A JP2017156878A (en) | 2017-09-07 |
JP6610334B2 true JP6610334B2 (en) | 2019-11-27 |
Family
ID=59809788
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2016037904A Active JP6610334B2 (en) | 2016-02-29 | 2016-02-29 | Leakage risk providing apparatus, leakage risk providing method, and leakage risk providing program |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP6610334B2 (en) |
Families Citing this family (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US11574026B2 (en) * | 2019-07-17 | 2023-02-07 | Avanade Holdings Llc | Analytics-driven recommendation engine |
JP7219726B2 (en) * | 2020-01-09 | 2023-02-08 | Kddi株式会社 | Risk assessment device, risk assessment method and risk assessment program |
Family Cites Families (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2014030302A1 (en) * | 2012-08-20 | 2014-02-27 | 日本電気株式会社 | Information processing device for executing anonymization and anonymization processing method |
TW201426578A (en) * | 2012-12-27 | 2014-07-01 | Ind Tech Res Inst | Generation method and device and risk assessment method and device for anonymous dataset |
JP6214167B2 (en) * | 2013-02-08 | 2017-10-18 | 富士通クラウドテクノロジーズ株式会社 | Information processing system, information processing method, and information processing program |
JP6053181B2 (en) * | 2014-02-25 | 2016-12-27 | 日本電信電話株式会社 | Information collection system, information collection device, information providing device, anonymous information collection method and program |
-
2016
- 2016-02-29 JP JP2016037904A patent/JP6610334B2/en active Active
Also Published As
Publication number | Publication date |
---|---|
JP2017156878A (en) | 2017-09-07 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US9703985B1 (en) | Concealing a personal number | |
JP6413769B2 (en) | Data concealment device, data concealment program, and data concealment method | |
JP5161803B2 (en) | Business process similarity evaluation apparatus and method | |
US20230307104A1 (en) | Determining journalist risk of a dataset using population equivalence class distribution estimation | |
US9990515B2 (en) | Method of re-identification risk measurement and suppression on a longitudinal dataset | |
WO2015025551A1 (en) | Correlation display system, correlation display method, and correlation display program | |
JP6711519B2 (en) | Evaluation device, evaluation method and program | |
Boysen et al. | Refining the threat calculus of technology threat avoidance theory | |
JP6610334B2 (en) | Leakage risk providing apparatus, leakage risk providing method, and leakage risk providing program | |
Lee et al. | Spatial aggregation choice in the era of digital and administrative surveillance data | |
Singh et al. | Understanding racial bias in health using the Medical Expenditure Panel Survey data | |
JPWO2017203672A1 (en) | Item recommendation method, item recommendation program and item recommendation device | |
Matthews et al. | An examination of data confidentiality and disclosure issues related to publication of empirical roc curves | |
JP6644767B2 (en) | Method and apparatus for hierarchical data analysis based on cross-correlation | |
JP6127774B2 (en) | Information processing apparatus and data processing method | |
JP6638739B2 (en) | Analysis method for tabular data, analysis program for tabular data, and information processing apparatus | |
JP7278100B2 (en) | Post evaluation system and method | |
JP6497267B2 (en) | Test case generation method, test case generation program, and test case generation apparatus | |
Mortazavi et al. | Privacy and big data | |
JP7070994B2 (en) | Processing equipment, processing methods and programs | |
Gustafson et al. | Identifying spatio-temporal dynamics of Ebola in Sierra Leone using virus genomes | |
Hasegawa et al. | Estimating malaria vaccine efficacy in the absence of a gold standard case definition: Mendelian factorial design | |
JP6819464B2 (en) | Information display device, information display system and program | |
WO2014073370A1 (en) | Information processing device, information processing method, and computer program | |
JP2019028794A (en) | Anonymity evaluation apparatus, anonymity evaluation method, and anonymity evaluation program |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20181112 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20190830 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20191001 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20191014 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6610334 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |