JP6817169B2 - データ流通方法及びデータ流通基盤装置 - Google Patents

Description

本発明は、データ流通のシステム、及び、データ流通システムのデータ流通基盤装置に関する。

（データ流通サービスの概要）
近年、データを提供する人（データ提供者）と、データを利用（購入）したい人（データ需要者）を仲介するプラットホームを活用したデータ流通サービスが提供されている。このプラットホームでは、データ需要者は登録されたデータの概要情報を閲覧、検索することができ、欲しいデータについては注文して購入することができる。

また、データ提供者は、保有しているデータをデータ流通のプラットホームに登録し、データを販売または貸し出すことができる。また、データ流通サービスでは、データ提供者とデータ需要者間のマッチングに対する手数料を収益としているところもある。

（匿名化技術の動向）
個人情報を含むデータを匿名化して、第３者に提供してデータの利活用を図る動きがある。改正個人情報保護法（２０１５年９月に成立、２０１７年４月に施行）において、匿名加工情報（特定の個人を識別することができないように個人情報を加工した情報）の利活用の規定を新設されている。

この新しい規定では、匿名加工情報を本人の同意がなくとも第三者への提供が可能、本来の利用目的外での利用が可能、匿名加工情報を取り扱う際に、本人を識別する目的で匿名加工情報を他の情報と照合することの禁止を規定している。

匿名化においては、データから個人を再特定できないように加工する技術が広く知られている。例えば、識別子の削除や、識別子を別のＩＤに変換する仮名化、属性の情報の一般化もしくは範囲化、頻度の低いレコードを削除するなどさまざまな加工が知られている。また、複数の属性の値の組み合わせから個人を特定するのを防ぐために、複数の属性の値の組み合わせがｋ個以上となるようなｋ−匿名化技術が知られている。

（匿名加工情報のデータ仲介の可能性）
改正個人情報保護法に伴い、今後、匿名加工情報の活用が進むと考えられる。また、その活用の一形態のひとつとして、データ仲介サービスでも匿名加工情報が流通することになると考えられる。

特開２００５−７２９１７号公報

個人情報を匿名化した情報を第３者に提供するのは従来、相対取引で実施されており、匿名化処理は提供者自らが実施し、または、専門会社のコンサルティングやサポートを受けて実施されてきた。

データマーケットプレイスを通じて、匿名加工情報を提供する場合、多数の需要者が存在する。需要者によって利用目的が異なるため、その結果、利用する項目と、項目毎に算出する粒度が異なるため、最適な加工方法は需要者毎に異なる。

データ提供者が全需要者への提供を想定して高いｋ−匿名性の匿名加工情報のみを提供すると、情報の有用性が損なわれてしまい、多くの需要者の要求を満たすことができなくなってしまう。また、データ提供者が取引相手（需要者）毎に異なる匿名化処理を実行すると、需要者の要求を満たすことができるが、データ提供者側で必要となる加工の手間が増大するという問題が生じる。

従って、データ需要者の個別の要求に合わせることができ、かつ、提供者の手間を抑えた匿名化方法の決定により匿名加工情報を流通させるシステムが望まれる。データ提供者の代わりにデータ需要者が匿名加工方法を決めるシステムが一つの実現手段となる。

データ需要者が匿名化方法を決定する上では、元データを見ることができることが望ましい。しかしながら、個人情報を扱うため、また、データが有料となる可能性があるため、元データを注文前にデータ需要者に開示することはできない。したがって、データ需要者に元データを推測されることなく、かつ、あたかも元データを扱うように匿名化方法を決める方法が望まれる。

特許文献１には、ダミーデータを挿入して頻度を撹乱する暗号化データ作成装置が開示されている。この従来例では、元のデータに対してダミーデータを付与して暗号化処理をすることで、元データを推測困難にしている。

しかしながら、上記従来例では、データ需要者側が元データを匿名加工するかのように見せることができない。従って、データ需要者が個人情報を含む元データを推測困難とし、かつ、データ需要者が元データを匿名加工するかのように加工可能とする２点を両立させることができないという問題があった。

したがって、本発明は、データ流通システムにおいて、個人情報を含む元データを推測困難とし、かつ、データ需要者が元データを匿名加工するかのように加工可能とするシステムを実現し、更には、元データを匿名加工するかのように加工可能なダミーデータを生成することを目的とする。

本発明は、プロセッサとメモリとストレージを備えたデータ流通基盤装置が、元データに匿名加工を実施した匿名加工データを提供するデータ流通方法であって、前記データ流通基盤装置が、前記元データをデータ提供者側装置から受け付ける第１のステップと、前記データ流通基盤装置が、前記元データの特徴量に基づいてダミーデータを生成する第２のステップと、前記データ流通基盤装置が、データ利用者側装置から前記ダミーデータに対する匿名加工の操作を受け付ける第３のステップと、前記データ流通基盤装置が、前記ダミーデータに対する匿名加工の操作に関する情報を匿名加工操作情報として取得し、当該匿名加工操作情報に基づいて元データに対する匿名加工処理を決定する第４のステップと、前記データ流通基盤装置が、前記決定された匿名加工処理を前記元データに適用して匿名加工データを生成する第５のステップと、を含み、前記第２のステップは、前記元データの値が重複する重複レコード数毎の統計分布を特徴量として、前記ダミーデータの重複レコード数毎の統計分布を用い、前記統計分布の目標とする目標統計分布を決定するステップと、所定の確率に従って前記元データから選択したレコードに対して、当該レコードの各項目の値をランダムに選択した他のレコードの値に置換した中間データを生成するステップと、前記中間データが、前記目標統計分布を満たした場合には、当該中間データをダミーデータとして生成するステップと、を含む。

本発明によれば、データ提供者は、保有している元データを注文前のデータ需要者に推測されることなく、データ需要者毎に最適な匿名加工情報を提供することができ、より多くのデータ需要者に情報を販売することが可能となる。また、データ提供者にとって匿名加工情報の作成に伴う工数を大きく削減することができる。

また、データ需要者は、元データを自分で匿名加工しているかのように加工方法を決定して注文できるため、自分の利用目的及びニーズに適合した匿名加工情報を迅速に入手することができるようになる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の実施例１を示し、データ流通システムの構成の一例を示すブロック図である。 本発明の実施例１を示し、データ提供者情報装置、データ流通基盤、データ需要者情報処理装置のハードウェア構成の一例を示すブロック図である。 本発明の実施例１を示し、データ流通基盤の機能要素の一例を示すブロック図である。 本発明の実施例１を示し、匿名加工データの処理の一例を示すシーケンス図である。 本発明の実施例１を示し、匿名加工処理の一例を示すフローチャートである。 本発明の実施例１を示し、ダミーデータ生成処理の一例を示すフローチャートの前半部である。 本発明の実施例１を示し、ダミーデータ生成処理の一例を示すフローチャートの後半部である。 本発明の実施例１を示し、登録データ管理テーブルの一例を示す図である。例である。 本発明の実施例１を示し、元データの顧客属性ソースデータの一例を示す図である。 本発明の実施例１を示し、元データの履歴ソースデータの一例を示す図である。 本発明の実施例１を示し、仮ＩＤ変換後の顧客属性データの一例を示す図である。 本発明の実施例１を示し、仮ＩＤ変換後の履歴データの一例を示す図である。 本発明の実施例１を示し、データ需要者情報処理装置の匿名加工操作画面の一例を示す図である。 本発明の実施例１を示し、ダミーデータ生成処理の過程で生成される加工用元データの例である。 本発明の実施例１を示し、ダミーデータ生成処理の過程で生成される中間データ（１）の例である。 本発明の実施例１を示し、ダミーデータ生成処理の過程で生成される中間データ（２）の例である。 本発明の実施例１を示し、ダミーデータ生成処理の過程で生成される中間データ（３）の例である。 本発明の実施例１を示し、ダミーデータ生成処理の過程で生成される中間データ（４）の例である。 本発明の実施例１を示し、ダミーデータ生成処理の過程で生成される中間データ（５）の例である。 本発明の実施例２を示し、ダミーデータ生成処理の一例を示すフローチャートの前半部である。 本発明の実施例２を示し、ダミーデータ生成処理の一例を示すフローチャートの後半部である。 本発明の実施例３を示し、匿名加工データの処理の一例を示すシーケンス図である。 本発明の実施例１を示し、元データとダミーデータのレコード対応テーブルの一例を示す図である。

以下、本発明の実施形態を添付図面に基づいて説明する。

（データ流通システム）
本発明の適用対象となるデータ流通システムの構成に関して説明する。図１は、実施例１のデータ流通システムの構成を示すブロック図である。

実施例１のデータ流通システムは、Ｎ台のデータ提供者情報処理装置１０（１０−１〜１０−Ｎ）と、データ流通基盤２０と、Ｍ台のデータ需要者情報処理装置３０（３０−１〜３０−Ｍ）から構成される。

データ提供者情報処理装置１０（１０−１〜１０−Ｎ）は、データ提供者業務システム４０（４０−１〜４０−Ｎ）とそれぞれ接続されている。データ需要者情報処理装置３０（３０−１〜３０−Ｎ）はデータ需要者業務システム５０（５０−１〜１０−Ｎ）と接続されている。データ提供者情報処理装置（１０−１〜１０−Ｎ）とデータ流通基盤２０、データ需要者情報処理装置（３０−１〜３０−Ｎ）とデータ流通基盤２０はそれぞれネットワーク（図示省略）を介して接続される。

なお、以下の説明では、データ提供者情報処理装置１０の全体について説明する場合には「−」以降の符号を省略する。なお、他の構成要素の符号についても同様である。

次に、このデータ流通システムにおいて、データの仲介を行う手順について説明する。データ提供者は、データ提供者業務システム４０内で収集したデータを、データ提供者情報処理装置１０に送信し、データ提供者情報処理装置１０を用いてデータ及びそのデータの補足情報をデータ流通基盤２０に登録する。

登録されたデータはデータ流通基盤２０の装置に格納される。データ需要者（利用者）はデータ需要者情報処理装置３０を介してデータ流通基盤２０にアクセスして、購入したいデータを検索、閲覧し、注文を実行する。

データ流通基盤２０において、注文が受け付けられると、データ需要者に対して該当のデータへのアクセス権を付与する。データ需要者は、データ需要者情報処理装置３０を介して、購入するデータをダウンロードする。購入したデータはデータ需要者業務システム５０に送信され、そのデータが業務に用いられる。

（各装置のハードウェア構成）
図２は、実施例１のデータ流通基盤、データ提供者情報処理装置、データ需要者情報処理装置のハードウェア構成の一例を示すブロック図である。

データ提供者情報処理装置１０は、主記憶装置１１と、中央演算装置１２と、出力装置１３と、入力装置１４と、蓄積部１５と、ネットワークインタフェース部１７、１８から構成される。各部はバス１６を介して相互に接続されており、相互に制御用のデータをやりとりすることが可能である。

ネットワークインタフェース部１７はデータ提供者内ネットワーク６１に接続されており、このデータ提供者内ネットワーク６１を介してデータ提供者業務システム４０と通信することが可能である。ネットワークインタフェース部１８は、ネットワーク６２に接続されており、このネットワーク６２を介してデータ流通基盤２０と通信することが可能である。

データ流通基盤２０は、主記憶装置２１と、中央演算装置２２と、出力装置２３と、入力装置２４と、蓄積部２５と、ネットワークインタフェース部２７から構成される。各部はバス２６を介して相互に接続されており、相互に制御用のデータをやりとりすることが可能である。

ネットワークインタフェース部２７は、ネットワーク６２に接続されており、このネットワーク６２を介してデータ提供者情報処理装置１０やデータ需要者情報処理装置３０と通信することが可能である。

データ需要者情報処理装置３０は、主記憶装置３１と、中央演算装置３２と、出力装置３３と、入力装置３４と、蓄積部３５と、ネットワークインタフェース部３７、３８から構成される。各部はバス３６を介して相互に接続されており、相互に制御用のデータをやりとりすることが可能である。

ネットワークインタフェース部３７はデータ需要者内ネットワーク６３に接続されており、このデータ需要者内ネットワーク６３を介してデータ需要者業務システム５０と通信することが可能である。ネットワークインタフェース部３８は、ネットワーク６２に接続されており、このネットワーク６２を介してデータ流通基盤２０と通信することが可能である。

なお、各蓄積部１５、２５、３５は、ストレージ装置で構成される。また、出力装置１３、２３、３３はディスプレイなどを含む。

図３は、実施例１のデータ流通基盤２０の機能要素の一例を示す説明図である。

データ流通基盤２０は、課金収納管理部２０１と、ユーザー管理部２０２、データ登録処理部２０３、メータリング部２０４、注文処理部２０５、検索部２０６、データ匿名加工部２０７、ダミーデータ生成加工部２０８の処理部を含む。

また、データベースとして、ユーザー情報管理データベース２２１と、登録データ管理データベース２２２と、Ｌ個の辞書データベース２３０（２３０−１〜２３０−Ｌ）と、元データＤＢ２４１と、ダミーデータＤＢ２４２と、匿名加工データＤＢ２４３と、匿名加工管理データベース２４４を含む。

課金収納管理部２０１は、データ需要者が有料のデータを購入した場合に、データ需要者から料金を徴収するためのインボイスを発行し、データ提供者に料金から手数料を差し引いた金額を振り込む処理を行う。

なお、本実施例１では、データ流通のサービスにおいて、データ提供者のデータとデータ需要者のニーズがマッチングした際の手数料をデータ流通基盤２０の売上とする事業を想定したが、それ以外の収益モデルの事業でも構わない。例えば、データ需要者には、月額いくらで何個のデータまでダウンロード可能という課金のしかたでも構わない。

ユーザー管理部２０２は、データ提供者及びデータ需要者のユーザーの管理に関する処理を行う。具体的には、データ提供者やデータ需要者のユーザーＩＤの新規作成や削除、各ユーザーＩＤの属性情報の更新などの処理を行う。

データ登録処理部２０３は、データ提供者がデータ提供者情報処理装置１０を介してデータの登録依頼をした際の処理を行う。データを登録する際に、データ流通基盤２０は登録のフォームを提示し、そのフォームでの入力情報に従って、登録データ管理テーブル３００に情報を登録する。

メータリング部２０４は、データ提供者のデータ販売の量及び料金の測定や、データ需要者のデータ購入の量及び料金の測定を行う。また、測定したデータの購入履歴や販売履歴をログとして格納する処理を行う。

注文処理部２０５は、データ需要者からデータの注文依頼があった際の受付処理を行う。匿名加工データが対象となる場合には、注文依頼の内容に基づいた加工データのレポートを生成し、データ提供者にレポートを通知するとともに、データ需要者にデータのダウンロード先のＵＲＬを通知する。

検索部２０６は、データ需要者がデータ流通基盤２０で既に登録されているデータを検索するための処理を行う。具体的には、データ需要者が条件やキーワードを入力した際に、検索部２０６は当該条件に合致するデータの一覧を出力する処理を行う。検索部２０６がデータの一覧を出力する際には、主にデータのタイトルやデータの説明文を出力してデータ需要者情報処理装置３０に表示させる。

データ匿名加工部２０７は、データ需要者が後述するように、ダミーデータに基づいて匿名加工操作をした場合に、元データに対する匿名加工操作を決定し、元データの匿名加工処理を行う。

ダミーデータ生成加工部２０８は、データ提供者がデータを登録した際に、登録したデータが個人情報を含むデータで、当該個人情報を匿名加工して提供したい場合に、データ提供者が提供した元データに基づいて、ダミーデータを生成する処理を行う。ダミーデータの生成処理の詳細については、後述する。

上記課金収納管理部２０１と、ユーザー管理部２０２、データ登録処理部２０３、メータリング部２０４、注文処理部２０５、検索部２０６、データ匿名加工部２０７、ダミーデータ生成加工部２０８の各機能部はプログラムとして主記憶装置２１にロードされる。

中央演算装置２２は、各機能部のプログラムに従って処理することによって、所定の機能を提供する機能部として稼働する。例えば、中央演算装置２２は、ダミーデータ生成加工プログラムに従って処理することでダミーデータ生成加工部２０８として機能する。他のプログラムについても同様である。さらに、中央演算装置２２は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。

データ流通基盤２０の各機能を実現するプログラム、テーブル等の情報は、蓄積部２５等のストレージサブシステムや不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤ等の計算機読み取り可能な非一時的データ記憶媒体に格納することができる。

ユーザー情報管理ＤＢ２２１は、データ提供者及びデータ需要者のユーザー情報を管理するためのデータベースである。ユーザー情報管理ＤＢ２２１は、図示はしないが、ユーザーＩＤと、ユーザー種別（提供者または需要者）と、ユーザーの所属組織と、連絡先メールアドレスなどの情報を格納する。

登録データ管理ＤＢ２２２は、登録データ管理テーブル３００と、顧客属性データ３３０と、履歴データ３４０と、レコード対応テーブル６００を含む。各テーブルの詳細については後述する。

辞書ＤＢ２３０−１〜２３０−Ｌは、顧客属性データ３３０の各属性がとりうる値を含む辞書のデータベースを表す。属性としては、例えば、住所や職業、勤務地の項目がとりうる値である。これらのＬ個の辞書ＤＢ２３０は、ダミーデータの生成処理において用いられる。

元データＤＢ２４１は、データ提供者が登録した元データのデータベースである。元データＤＢ２４１は、例えば、顧客の属性を格納した顧客属性ソースデータ４１０と、顧客毎の履歴を格納した履歴ソースデータ４２０を含む。各テーブルの詳細については後述する。

ダミーデータＤＢ２４２は、データ流通基盤２０が元データに基づいて生成したダミーデータを格納するデータベースである。

匿名加工データＤＢ２４３は、データ流通基盤２０がデータ需要者の匿名加工操作に基づいて生成した匿名加工データのデータベースである。なお、この匿名加工データＤＢ２４３には、匿名加工操作途中の加工中データを保持してもよい。なお、加工中データは、データ需要者情報処理装置３０による匿名加工操作に基づいて、加工用元データ（元データ）に所定の匿名加工を実施したデータである。

匿名加工データＤＢ２４３は、データ流通基盤２０がデータ需要者の匿名加工操作に基づいて、元データに対する匿名加工操作情報を逐次取得し、匿名加工操作情報の履歴のデータベースである。匿名加工データＤＢ２４３には、図示はしないが、各データセットＩＤに対して、操作番号と匿名加工で実施した操作の情報が格納される。匿名加工操作情報には、加工操作の種別と、加工対象（列１など）が格納される。これらの匿名加工操作の履歴は、データ注文があった場合にデータ提供者に送信される匿名加工レポートの作成等で利用される。

上記ユーザー情報管理データベース２２１と、登録データ管理データベース２２２と、Ｌ個の辞書データベース２３０と、元データＤＢ２４１と、ダミーデータＤＢ２４２と、匿名加工データＤＢ２４３と、匿名加工管理データベース２４４は、蓄積部２５に格納される。

（匿名加工データの登録、加工及び注文のシーケンス）
図４は、匿名加工データの登録から加工及び注文に至る一連の処理を実行する場合のシーケンス図である。

まず、データ提供者は、データ提供者情報処理装置１０を介してデータ登録要求メッセージをデータ流通基盤２０へ送信する。このメッセージは、元データの概要情報とデータの匿名加工要件の情報を含む（Ｓ１）。また、データ提供者情報処理装置１０は、元データをデータ流通基盤２０に送信する。なお、匿名加工要件は、Ｋ−匿名性等の匿名加工指標を含む。

次に、データ流通基盤２０が、データ登録要求メッセージを受け付けると、データ登録処理部２０３が実行され、データの概要情報と、匿名加工要件を登録データ管理データベース２２２に格納する。

また、データ流通基盤２０は受信した元データを元データＤＢ２４１に格納する。また、データ流通基盤２０のダミーデータ生成加工部２０８は、元データから匿名化に関連する特徴量を演算し、当該特徴量に近く、かつ、データ需要者から元データを推測するのが難しいダミーデータを生成して、ダミーデータＤＢ２４２に格納する。

なお、ダミーデータの生成方法については、後述する。ダミーデータＤＢ２４２にダミーデータの格納が完了すると、データ流通基盤２０からデータ提供者情報処理装置１０にデータ登録完了通知メッセージが送信される（Ｓ３）。

その後、データ需要者がデータ需要者情報処理装置３０からデータの検索条件を入力する（Ｓ４）。データ流通基盤２０の検索部２０６は、登録データ管理データベース２２２から検索条件に合致する検索結果をデータ需要者のデータ需要者情報処理装置３０に送信する（Ｓ５）。

そして、データ需要者がデータ需要者情報処理装置３０から購入対象のデータを選択すると（Ｓ６）、データ流通基盤２０は選択されたデータの概要情報が含む情報を商品説明ページとしてデータ需要者情報処理装置３０に提示する（Ｓ７）。なお、ここでデータ需要者が選択するのは、元データを匿名加工したデータである。

データ需要者がデータの商品説明ページ内に表示される匿名加工操作ボタンを選択すると（Ｓ８）、匿名加工操作画面がデータ需要者情報処理装置３０の出力装置３３に表示される（Ｓ９）。なお、匿名加工操作画面の詳細については後述する。

次に、データ需要者が匿名加工操作画面から、ダミーデータに対して匿名加工の操作Ａを実施する（Ｓ１０）。データ流通基盤２０は、匿名加工の操作Ａを元データに対して実施して匿名加工の中間データを生成する（Ｓ１１）。データ流通基盤２０は、匿名加工操作実施後の加工中データについて匿名加工指標を算出する。データ流通基盤２０は、匿名加工操作後のダミーデータ及び匿名加工指標を更新した匿名加工操作画面を出力し、データ需要者情報処理装置３０に通知する（Ｓ１２）。なお、匿名加工操作画面に出力される匿名加工指標は、前回の匿名加工操作実施後に算出した値である。

次に、データ需要者がダミーデータに対して匿名加工の操作Ｂを実施する（Ｓ１３）。データ流通基盤２０は、匿名加工の操作Ｂを元データに対して実施して匿名加工の中間データを更新し（Ｓ１４）、匿名加工操作実施後の中間データについて匿名加工指標を算出する。データ流通基盤２０は、匿名加工操作Ｂの後のダミーデータ及び匿名加工指標を更新した匿名加工操作画面を出力し、データ需要者情報処理装置３０に通知する（Ｓ１５）。

次に、データ需要者がダミーデータに対して匿名加工の操作Ｃを実施する（Ｓ１６）。データ流通基盤２０は、匿名加工の操作Ｃを元データに対して実施して匿名加工の中間データを更新し（Ｓ１７）、匿名加工操作Ｃを実施した後の中間データについて匿名加工指標を算出し、ダミーデータ及び匿名加工指標を更新した匿名加工操作画面を出力し、データ需要者情報処理装置３０に通知する（Ｓ１８）。

図４のシーケンス図では、例えば、初めに列３の削除を実施し（操作Ａ）、次に、列２の一般化（簡略化）処理を実施し（操作Ｂ）、最後に、特定可能なレコードである行１２３の削除を実施する（操作Ｃ）。本実施例１では、一連の匿名加工操作後に、元データの匿名加工指標が提供可能条件を満たす場合には、匿名加工操作画面において、注文ボタンが有効化される。

この後、データ需要者は、データ需要者情報処理装置３０で注文ボタンを押して注文依頼を送信する（Ｓ１９）。なお、この注文依頼において、データ需要者は注文内容を確認して該当データの購入処理を行う。注文処理が完了すると、データ流通基盤２０は、中間データを匿名加工データとして匿名加工データＤＢ２４３に格納して（Ｓ２０）からデータ提供者情報処理装置１０に匿名加工レポートを通知する（Ｓ２１）。

この匿名加工レポートには、元データに対してどのような匿名加工を実施したかを表す加工方法詳細と、加工されたデータ、及び、加工されたデータでの匿名加工指標を含む。また、注文が受け付けられると、データ流通基盤２０からデータ需要者情報処理装置３０に匿名加工データの閲覧やダウンロード可能になったことをデータ需要者に通知する（Ｓ２２）。

本実施例１では、匿名加工データをデータ提供者が承認せずに注文を受け付けているが、データ提供者が匿名加工レポートの内容を承認してからデータ流通基盤２０で注文を受け付けてもよい。その場合には、データ提供者情報処理装置１０からデータ流通基盤２０に注文依頼に対して許可するか否かを示すメッセージを送信し、データ流通基盤２０は当該メッセージを受けて注文を受け付けるようにすればよい。

以上のシーケンスにより、匿名加工用の元データの登録から匿名加工及び注文に至る一連の処理を行うことができる。

（匿名加工操作画面）
図１０に、データ需要者情報処理装置３０の出力装置３３に表示される匿名加工操作画面２５０の一例例を示す。匿名加工操作画面２５０は、データ需要者がデータ需要者情報処理装置３０でダミーデータを閲覧しながら、ダミーデータに対して匿名加工操作を実施する。データ流通基盤２０は、匿名加工の操作後に、元データに対する匿名加工の実施と匿名加工指標を更新して匿名加工操作画面２５０に出力する。

匿名加工操作画面２５０は、データ操作メニュー２６０と、匿名加工指標表示エリア２７０と、データプレビューエリア２８０から構成される。

データ操作メニュー２６０には、本画面で実行可能な匿名加工操作の一覧が表示される。例えば、「元に戻す」、「指定例の削除」、「指定例の値のグルーピング」、「指定列の値の一般化」、「低頻度レコードの選択・削除」、「ノイズ付加」、「スワッピング」等が表示される。各操作で必要な場合は各操作の対象やパラメータを指定することができる。例えば、匿名加工操作が指定例の削除の場合には、操作対象の列の一覧が表示され、その列を選択するとその列が削除される。

また、匿名加工操作が「指定列の値の一般化」である場合には、操作対象の列の一覧が表示され、さらに、その列での一般化のレベルを選択すると、該当列での一般化が実施される。ここで、一般化のレベルは、住所であれば都道府県まで一般化するのか、市町村まで一般化するのかなどを表す。

また、匿名加工操作を終了または中断する場合には、操作終了ボタン２６１を操作すればよい。

匿名加工指標表示エリア２７０は、データ需要者がどこまで匿名加工を実施すればよいのか、また、現状の匿名加工では情報損失量がどうなるかを表示する。

匿名加工指標表示エリア２７０には、ｋ−匿名性や、特定可能なレコード数、レコード総数、情報損失量（エントロピー）、情報損失量（欠損レコード数）が表示される。また、提供可能条件が定義されている指標については、現在の匿名加工での指標の値と提供条件の値の両方を表示する。

また、匿名加工指標表示エリア２７０の匿名加工指標は、データ需要者が匿名加工操作を実行した際に、元データに対して匿名加工が実施され、匿名加工後の指標が算出され、算出された値が更新されて表示される。なお、匿名加工指標については、必ずしも上記に限定されない。

また、匿名加工指標表示エリア２７０は、提供可能条件を満たしている場合には提供可能表示２７１に「提供ＯＫ」を出力し、提供可能条件を満たしていない場合には提供可能表示２７１に「提供ＮＧ」を表示し、現在までの匿名加工で注文が可能か否かを示す。

また、匿名加工操作画面２５０においては、「注文依頼に進む」ボタン２５１が表示される。なお、提供可能条件を満たしていて提供ＯＫの場合にボタン２５１を有効にし、提供可能条件を満たしておらず提供ＮＧの場合にはボタン２５１を無効とする。

データプレビューエリア２８０には、匿名加工を実施した後のダミーデータが表示される。図示の例では、仮ＩＤと年齢、性別及び住所で構成されたダミーデータの一例を示している。

（データ流通基盤での匿名加工処理のフローチャート）
図５は、実施例１のデータ流通基盤２０における匿名加工処理の一例を示すフローチャートである。匿名加工処理は、データ需要者情報処理装置３０の匿名加工操作画面でダミーデータに対して匿名加工を指令したときに処理が開始される（Ｓ３０１）。

次に、データ流通基盤２０のデータ匿名加工部２０７は、匿名加工操作画面２５０を生成する（Ｓ３０２）。匿名加工操作画面２５０では、図１０で示したようにダミーデータＤＢ２４２から読み込んだダミーデータの表示と、ダミーデータに対する匿名加工操作の内容と、元データＤＢ２４１から読み出した元データの匿名加工指標の表示を行う。

匿名加工操作画面２５０を介してデータ需要者のデータ需要者情報処理装置３０から操作を受け付けたデータ流通基盤２０がダミーデータに対する匿名加工を実施し、元データに対しても同様の匿名加工操作を決定することができる。

データ匿名加工部２０７は、匿名加工の対象となるダミーデータ及び元データの匿名加工に関する匿名加工指標を読み込み、匿名加工操作画面２５０を生成して出力し、データ需要者情報処理装置３０の出力装置に表示する（Ｓ３０３）。

匿名加工の対象となるダミーデータはデータ流通基盤２０のダミーデータＤＢ２４２から取得する。また、データ匿名加工部２０７は、対象となる元データを元データＤＢ２４１から取得し、加工実施前の元データの匿名加工に関する匿名加工指標を算出し、匿名加工操作画面２５０に出力する。また、データ匿名加工部２０７は、匿名加工指標の提供条件については、登録データ管理ＤＢ２２２から該当する元データの提供条件を取得して出力する。

次に、データ匿名加工部２０７は、データ需要者が匿名加工操作画面２５０の注文ボタン２５１を押したか否かを判定する（Ｓ３０４）。データ匿名加工部２０７は、注文ボタン２５１が押されたことを検出した場合には、ステップＳ３１３に進む。一方、注文ボタン２５１が押されたことを検出しなかった場合には、ステップＳ３０５に進む。

なお、ステップＳ３１０の処理の説明で後述するとおり、匿名加工操作画面２５０に表示される注文ボタン２５１は匿名加工指標の値が所定の提供条件を満たす場合にのみ有効となり、それ以外の場合には無効とし、匿名加工指標の値が提供条件を満たさないときには注文ボタン２５１の操作が禁止される。

次に、データ匿名加工部２０７は、データ需要者が匿名加工操作画面２５０の操作終了ボタン２６１を押したか否かを判定する（Ｓ３０５）。データ匿名加工部２０７は、操作終了ボタン２６１が押されたことを検出した場合には、ステップＳ３１２に進む。一方、操作終了ボタン２６１が押されたことを検出しなかった場合には、ステップＳ３０６に進む。

次に、データ匿名加工部２０７は、データ需要者が匿名加工操作を実施したか否かを判定する（Ｓ３０６）。データ匿名加工部２０７は、匿名加工操作の実施を検出した場合には、ステップＳ３０７に進む。一方、匿名加工操作の実施を検出していない場合には、ステップＳ３０４に戻る。データ需要者がいずれの操作も実施してないときには、ステップＳ３０４、Ｓ３０５、Ｓ３０６のループを繰り返すこととなる。

次に、データ需要者が匿名加工操作を実施した場合には、データ匿名加工部２０７は、ダミーデータに対応する元データの匿名加工操作を、後述するレコード対応テーブル６００を参照して決定する（Ｓ３０７）。

この処理では、データ流通基盤２０のデータ匿名加工部２０７は、データ需要者のダミーデータに対する匿名加工操作の情報を取得し、データ流通基盤２０でデータ毎に管理している元データとダミーデータのレコード対応テーブル６００を参照することで元データに対する匿名加工操作を決定する。

次に、データ流通基盤２０のデータ匿名加工部２０７は、ステップＳ３０７で決定した元データに対する匿名加工操作に基づいて、元データに対する匿名加工操作を実行する（Ｓ３０８）。

データ匿名加工部２０７は、元データの複製（加工用元データ）に対して匿名加工操作を実施して、加工中データとして匿名加工データＤＢ２４３に格納する。加工中データは、匿名加工操作が実施される度に更新される。また、元データに対する匿名加工操作情報は、匿名加工データＤＢ２４３に格納する。

次に、データ匿名加工部２０７は、匿名加工操作実行後のデータを匿名加工データＤＢ２４３から取得し、当該データの匿名加工指標を算出する（Ｓ３０９）。データ匿名加工部２０７は、匿名加工指標としては、上述のように、提供可能条件に対応した指標を算出する。例えば、提供可能条件としてk-匿名性や一意に特定可能なレコード数がある場合にはその値を算出する。また、データ需要者向けには元データと比べた情報損失量を表す欠損レコード数や情報エントロピーの値を算出する。

次に、データ匿名加工部２０７は、匿名加工操作画面２５０の表示内容を更新する（Ｓ３１０）。具体的には、ダミーデータの匿名加工操作後のデータと、ステップＳ３０９で算出した匿名加工指標の値を更新する。

次に、データ匿名加工部２０７は、上記ステップＳ３０９で算出した匿名加工指標の値が所定の提供条件を満たすか否かを判定する（Ｓ３１１）。データ匿名加工部２０７は、匿名加工指標の値が所定の提供条件を満たす場合には、ステップＳ３１２に進む。一方、提供条件を満たさない場合には、ステップＳ３０４に戻る。

上記ステップＳ３１１の判定で提供条件を満たす場合には、匿名加工操作画面２５０において無効化されていた注文ボタン２５１を有効にする（Ｓ３１２）。

上記ステップＳ３０４からステップＳ３１２までのループ処理を実行することにより、データ匿名加工部２０７は、ダミーデータに対する匿名加工操作に合わせて、元データに対する匿名加工操作を実行して加工中データを更新し、更に、匿名加工操作後の匿名加工指標を更新することを繰り返すことができる。

また、データ匿名加工部２０７は、ステップＳ３０５の匿名加工の操作終了ボタン２６１が押された場合には、匿名加工操作画面２５０を閉じる（Ｓ３１３）。なお、データ匿名加工部２０７が匿名加工操作画面２５０を閉じる場合には、匿名加工操作途中の加工データ及び匿名加工操作の情報、匿名加工操作途中のダミーデータをダミーデータＤＢ２４２に保持し、加工中データを匿名加工データＤＢ２４３で保持しておけば、後に途中から作業を再開することも可能である。

また、ステップＳ３０４の処理で、データ需要者が注文ボタン２５１を押した場合には、注文処理の画面（図示省略）に遷移する（Ｓ３１４）。データ匿名加工部２０７は、加工中データを匿名加工データとして匿名加工データＤＢ２４３に保持し、データ需要者情報処理装置３０へ出力することができる。

以上で述べたフローチャートの処理によれば、データ流通基盤２０は、データ需要者がデータ需要者情報処理装置３０でダミーデータを加工することに基づいて、元データの匿名加工方法を決定し、加工中データに対して匿名加工操作を実行することが可能である。

また、データ提供者が設定したデータ提供可能条件を満たしたときのみに匿名加工データの注文が可能となる。これにより、個人情報を含む元データから生成される加工データの匿名性を確保することができる。

（登録データの管理テーブル）
ダミーデータの生成においては、対象となる元データの構成を把握し、元データの各項目（フィールド）が識別子であるか、属性であるか、履歴であるかを決める必要がある。これらの情報はデータ登録時にデータ提供者がダイジェスト情報を入力し、ダイジェスト情報に基づいてデータ流通基盤２０において管理する必要がある。

元データを管理するためのテーブルを登録データ管理ＤＢ２２２に格納する。登録データ管理ＤＢ２２２は、登録データ管理テーブル３００と、顧客属性データ３３０と、履歴データ３４０と、レコード対応テーブル６００を含む。

図７は、登録データ管理テーブル３００と、顧客属性データ３３０と、履歴データ３４０の関係を示す図である。

登録データ管理テーブル３００は、データセットＩＤ３０１と、登録者ＩＤ３０２と、顧客属性データ構成３０３と、履歴データ構成３０４と、提供可能条件３０５とをひとつのエントリに含む。

データセットＩＤ３０１は、データ流通基盤２０において登録されているデータセットを一意に識別するための識別子である。例えば、データが登録された順に１、２、３、４とシーケンシャルに付与した識別子とすることができる。

登録者ＩＤ３０２は、データ提供者がデータ流通基盤２０を利用する際のユーザーＩＤを表す。顧客属性データ構成３０３は、データセットのうち顧客の識別子及び顧客の属性を表す顧客属性管理テーブル３１０へのポインタ（図示の例では、Table00003A）を格納する。

履歴データ構成３０４は、データセットのうち顧客の識別子及びその識別子に関する履歴情報を表す履歴管理テーブル３２０へのポインタ（図示の例ではTable00003B）を格納する。

顧客属性データ３３０と履歴データ３４０が、加工用元データを構成するデータセットの実体である。顧客属性データ３３０は顧客属性管理テーブル３１０のフォーマットに従って生成され、履歴データ３４０は履歴管理テーブル３２０のフォーマットに従って生成される。

顧客属性管理テーブル３１０は、個人情報を匿名加工した識別子を格納する仮ＩＤ３１と、属性としての年齢３１２と、属性としての性別３１３と、属性としての住所３１４をひとつのエントリに含む。

履歴管理テーブル３２０は、個人情報を匿名加工した識別子を格納する仮ＩＤ３２１と、履歴データとしての利用日３２２と、利用店舗３２３と、支払い方法３２４及び購入金額３２５と、をひとつのエントリに含む。

データの提供可能条件３０５は、個人情報が含まれるデータに関してどのような条件まで匿名化すれば、データ需要者に提供可能であるかを示す。例えば、データセットＩＤ＝000000０００１については、ｋ−匿名性指標であるｋの値が２より大きく、かつ、特定可能レコード数＝０のように、定量化した条件が入力される。

なお、本実施例１では、顧客属性データ構成３０３と、履歴データ構成３０４と、提供可能条件３０５は、データを登録する際にデータ提供者がダイジェスト情報として入力するものと想定した。

なお、提供可能条件３０５は、データセットに対応して一意に定まるとしたが、必ずしもこれに限定されない。例えば、提供先のデータ需要者あるいはデータ需要者のグループ毎に提供可能条件を定めてもよい。

（元データのデータ構造）
図８Ａ、図８Ｂに、データ提供者より提供される元データのデータ構造の一例を表す。
図示の例では、元データが図８Ａの顧客属性ソースデータ４１０と、図８Ｂの履歴ソースデータ４２０で構成される例を示す。

本実施例１では、店舗でクレジットカードにより購入された購買履歴を契約者毎に収集した元データを表す。顧客属性ソースデータ４１０は、匿名加工前の顧客の属性を格納する。履歴ソースデータ４２０は、匿名加工前の顧客の購買履歴を格納する。

図８Ａの顧客属性ソースデータ４１０は、例えば、契約者ＩＤ４１１と、氏名４１２と、電話番号４１３と、年齢４１４と、住所４１５と、性別４１６とをひとつのエントリに含む。このうち、契約者ＩＤ４１１と、氏名４１２と、電話番号４１３と、は単体で個人がほぼ特定されるため識別子として分類し、年齢４１４と、住所４１５と、性別４１６は属性として分類される。

図８Ｂの履歴ソースデータ４２０は、契約者ＩＤ４２１と、利用日４２２と、利用加盟店４２３と、支払方法４２４と、利用金額４２５とをひとつのエントリに含む。このうち、契約者ＩＤ４２１は識別子であり、利用日４２２と、利用加盟店４２３と、支払方法４２４と、利用金額４２５は履歴と分類される。なお、これらの分類は、データ提供者がデータを登録する際にダイジェスト情報として登録することを想定している。

（仮ＩＤ変換後の元データの構造）
図９Ａ、図９Ｂは、データ提供者より提供される元データのうち、図８Ａ、図８Ｂの識別子を仮ＩＤに変換した後のデータの一例を表す。本実施例１では、元データの識別子を仮ＩＤに変換したデータを加工用元データとする。図８Ａ、図８Ｂに示した元データの識別子４１１、契約者ＩＤ４１２を、シリアル番号等の仮ＩＤ３３１に変換した例を示す。

図９Ａは、仮ＩＤ変換後の顧客属性データ３３０の一例を示す図である。図９Ｂは、仮ＩＤ変換後の履歴データ３４０の一例を示す図である。

これらのデータは、顧客属性ソースデータ４１０と履歴ソースデータ４２０から生成される。顧客属性データ３３０は仮ＩＤ３３１と、年齢３３２と、住所３３３と、性別３３４をひとつのエントリに含む。このうち、仮ＩＤ３３１が識別子として分類され、図７で示したように、年齢３３２と、住所３３３と、性別３３４が属性として分類される。顧客属性ソースデータ４１０の氏名４１２と電話番号４１３は匿名化のため顧客属性データ３３０から除外される。

また、履歴データ３４０は、仮ＩＤ３４１と、利用日３４２と、利用加盟店３４３と、支払方法３４４と、利用金額３４５とをひとつのエントリに含む。このうち、利用日３４２と、利用加盟店３４３と、支払方法３４４と、利用金額３４５が履歴として分類される。

図８Ａ、図８Ｂの元データと図９Ａ、図９Ｂの仮ＩＤ変換後の加工用元データを比べると、識別子が仮ＩＤ５１１、５２１に集約されており、仮ＩＤ５１１、５２１が顧客属性データ３３０と履歴データ３４０の関連を示す。

（元データとダミーデータの対応管理テーブル）
図１９は、元データとダミーデータのレコードの対応関係を管理するレコード対応テーブル６００の一例を示す。

レコード対応テーブル６００は元データのレコード番号６０１と、ダミーデータのレコード番号６０２からひとつのエントリが構成される。レコード番号６０１、６０２は元データとダミーデータのレコードを一意に識別することが可能であればよく、本実施例１では、レコード番号の代わりに仮ＩＤを用いてもよい。それぞれのレコード番号６０１、６０２には、複数のレコードのリスト形式となってもよい。このレコード対応テーブル６００の生成方法はダミーデータの生成処理において行われる。

また、このレコード対応テーブル６００、ダミーデータの匿名加工操作から元データの匿名加工操作を決定することが可能となる。例えば、ダミーデータのレコード番号００４１のレコードを削除する加工を実施した場合には、元データのレコード番号００２４、００２５のレコードを削除する。

（データ流通基盤でのダミーデータ生成処理のフローチャート）
図６Ａ、図６Ｂに、ダミーデータ生成処理のフローチャートを示す。図６Ａは、ダミーデータ生成処理の一例を示すフローチャートの前半部を示し、図６Ｂは、ダミーデータ生成処理の後半部である。

なお、ここでは、データ提供者情報処理装置１０が全く加工をしていない元データをデータ流通基盤２０に登録した例を示す。以下では、ダミーデータの生成処理の流れを図１１から図１６に示す加工用元データ３５０、中間データ（１）から中間データ（５）を用いて説明する。

まず、データ提供者情報処理装置１０が元データの登録処理を完了すると、データ流通基盤２０のダミーデータ生成加工部２０８は、元データの登録を検知してダミーデータ生成処理を開始する（Ｓ１０１）。

次に、ダミーデータ生成加工部２０８は、データ登録がなされたデータセットＩＤ３０１の元データ（顧客属性ソースデータ４１０、履歴ソースデータ４２０）を元データＤＢ２４１から取得して、元データの各項目を識別子、属性、履歴に分類し、登録データ管理テーブル３００を更新する（Ｓ１０２）。

本実施例１では、データセットが顧客属性データ３３０と履歴データ３４０から構成される例を示し、顧客属性データ３３０の構成及び履歴データ３４０の構成を表す顧客属性管理テーブル３１０と履歴管理テーブル３２０をそれぞれ作成する。

次に、ダミーデータ生成加工部２０８は、元データの識別子の組み合わせを仮ＩＤに変換する（Ｓ１０３）。仮ＩＤは、例えば、シリアル値などデータ流通基盤２０で一意の識別子をもちいることができる。この処理により、図８Ａ、図８Ｂの元データ（顧客属性ソースデータ４１０、履歴ソースデータ４２０）から図９Ａ、図９Ｂに示す顧客属性データ３３０と履歴データ３４０からなる加工用元データが生成される。

なお、以下では、説明を簡易にするため、図１１に示すように、顧客属性データ３３０と履歴データ３４０をマージしたデータを加工用元データ３５０とする。加工用元データ３５０は、仮ＩＤ３３１と、年齢３３２と、住所３３３と、性別３３４と、履歴データ３３５をひとつのエントリに含む。仮ＩＤ３３１〜性別３３４は、顧客属性データ３３０と同様であり、履歴データ３３５は履歴データ３４０の購入金額の代表値（または総和）とする。

次に、ダミーデータ生成加工部２０８は、顧客属性管理テーブル３１０を参照して、項目種別が属性となる項目について値を一般化した値に変換する（Ｓ１０４）。この処理により生成されるデータを図１１の加工用元データ３５０に示す。

次に、ダミーデータ生成加工部２０８は、顧客属性管理テーブル３１０を参照して、項目種別が属性となる項目について、各辞書ＤＢ２３０を参照して、一般化した値を変換する（Ｓ１０５）。この処理により生成されるデータを図１２の中間データ（１）３６０に示す。

図示の例では、ダミーデータ生成加工部２０８が顧客属性管理テーブル３１０の年齢３１２と住所３１４を一般化の対象として選択し、加工用元データ３５０の年齢３３２を１０代単位で一般化し、住所３３３を都道府県で一般化した例を示す。なお、中間データ（１）３６０は、加工用元データ３５０から履歴データ３３５を割愛したもので、その他の項目（フィールド）は、図１１と同様である。

次に、ダミーデータ生成加工部２０８が一般化した中間データ（１）３６０について、重複レコードの出現頻度の統計分布を算出し、目標とする重複レコードの出現頻度の範囲（目標統計分布）を決定する（Ｓ１０６）。ダミーデータ生成加工部２０８は、出現頻度を算出するため中間データ（１）３６０の属性をソートしたデータを図１３の中間データ（２）３６０として生成する。

統計分布の算出においては、重複するレコードの数１、２、３、・・・で出現頻度を算出していく。ここで、目標とする出現頻度の範囲は、統計分布により中間データ（１）３６０の値の推測困難性と、ダミーデータの匿名加工操作が元データの匿名加工操作とのかい離度の両方を鑑みて設定する。

次に、ダミーデータ生成加工部２０８は、所定の確率ｐで中間データ（２）３６０のレコードを、別のレコード値のセットに置換して図１４の中間データ（３）３６０を生成する（Ｓ１０７）。ダミーデータ生成加工部２０８は、各レコード毎に確率ｐで置換するとして、また置換後のレコード値は他のレコード値からランダムに選択する。

なお、ダミーデータ生成加工部２０８が、中間データ（２）から中間データ（３）を生成する場合には、仮ＩＤ＝０００４の年齢、住所、性別の値のセットを仮ＩＤ＝０００３のレコードの値のセットに置換する。また、ダミーデータ生成加工部２０８が、仮ＩＤ＝００１２の年齢、住所、性別の値のセットを仮ＩＤ＝００１３のレコードの値のセットに置換する。仮ＩＤ＝００２７の年齢、住所、性別の値のセットを仮ＩＤ＝００２５のレコードの値のセットに置換する。

次に、ダミーデータ生成加工部２０８は、置換後の中間データ（３）３６０における重複レコードの出現頻度の統計分布を算出する（Ｓ１０８）。

次に、ダミーデータ生成加工部２０８は、置換後の中間データ（３）３６０における重複レコードの頻度の統計分布が、ステップＳ１０６で設定した目標の出現頻度（目標統計分布）に近づくか否かを判定する（Ｓ１０９）。

具体的には、ダミーデータ生成加工部２０８は、置換前の中間データ（２）の重複レコード数１，２，３，・・・の頻度をｎ１，ｎ２，ｎ３，・・・とし、置換後の中間データ（３）の重複レコード数１，２，３，・・・の頻度をｌ１，ｌ２，ｌ３・・・とし、目標の頻度（目標統計分布）をそれぞれｍ１，ｍ２，ｍ３，・・・とする。

ここで、置換前の中間データ（２）の目標頻度（目標統計分布）までの二乗距離Ｅ１を、
Ｅ１＝｜ｎ１−ｍ１｜＾２＋｜ｎ２−ｍ２｜＾２＋｜ｎ３−ｍ３｜＾２ ＋ ・・・
と定義し、置換後の中間データ（３）３６０の目標頻度までの二乗距離Ｅ２を、
Ｅ２＝｜ｌ１−ｍ１｜＾２＋｜ｌ２−ｍ２｜＾２＋｜ｌ３−ｍ３｜＾２ ＋・・・
と定義する。

このとき、Ｅ１＞Ｅ２であるときに、ダミーデータ生成加工部２０８は、目標の頻度に近づいたと判定する。

次に、ダミーデータ生成加工部２０８は、ステップＳ１０９の判定結果がＮｏである場合には、ステップＳ１０７で実施した中間データ（３）に対する置換操作を元に戻す（Ｓ１１０）。そして、ステップＳ１０７に戻って上記処理を繰り返す。

次に、ダミーデータ生成加工部２０８は、ステップＳ１０９の判定結果がＹｅｓである場合には、ステップＳ１１１に進んで、統計分布が目標となる頻度の範囲（目標統計分布）内に収まっているか否かを判定する。

ダミーデータ生成加工部２０８は、上記ステップＳ１０８で算出した頻度の統計分布が、ステップＳ１０６で設定した頻度の範囲内であるか否かを判定する。ダミーデータ生成加工部２０８は、判定結果がＹｅｓである場合には、図６ＢのステップＳ１１２に進み、判定結果がＮｏである場合には、ステップＳ１０７に戻って上記処理を繰り返す。

上記ステップＳ１０７〜Ｓ１１１の処理を繰り返して実行することにより、目標となる頻度の統計分布（目標統計分布）になるまで、特定の確率ｐで別レコード値への置換が繰り返されることとなる。本実施例１では、何度か上記処理が実行されて、図１４に示す中間データ（３）が生成される。

次に、ダミーデータ生成加工部２０８は、元データと生成されたダミーデータ（中間データ（３））の間でのレコード対応テーブル６００を生成する（Ｓ１１２）。元データと中間データ（３）３６０は、レコードが１対１で対応しているため、中間データ（２）と中間データ（３）との間でのレコード対応テーブル６００を生成することで代替してもよい。中間データ（３）と中間データ（４）で、同じ値のセットとなるレコードをそれぞれ選択し、それらをレコード対応テーブル６００に書き込む。

例えば、説明に用いたデータの例での対応関係をいくつか列挙すると下記の通りとなる。

図１３の中間データ（２）の仮ｉｄ＝［０００１，０００２，０００３］のレコードと、図１４の中間データ（３）の仮ＩＤ＝［０００１，０００２］のレコードが対応する。

図１３の中間データ（２）の仮ｉｄ＝［００２０］のレコードと、図１４の中間データ（３）の仮ＩＤ＝［００２０］のレコードが対応する。

図１３の中間データ（２）の仮ｉｄ＝［００２４，００２５］のレコードと、図１４の中間データ（３）の仮ＩＤ＝［００２４］のレコードが対応する。

図１３の中間データ（２）の仮ｉｄ＝［００２９］のレコードと、図１４の中間データ（３）の仮ＩＤ＝［００２９］のレコードが対応する。

ダミーデータ生成加工部２０８は、これらの対応関係をレコード対応テーブル６００として登録する。

次に、ダミーデータ生成加工部２０８は、顧客属性管理テーブル３１０を参照して属性となる項目種別について、各辞書ＤＢ２６０を参照し詳細値に変換する（Ｓ１１３）。ここで、年齢３３１に関しては、一般化された値に基づいてランダムに値を生成する。例えば、一般化された値が３０である場合には、３０〜３９までの値をランダムに生成する。

また、住所３３３に関しては、一般化された値に合致する値を住所の辞書ＤＢから選択し、選択した値の候補のなかから一つ選択する。性別３３４に関しては、詳細化の対象ではないため、値はそのままとする。このような処理により図１４の中間データ（３）から図１５に示す中間データ（４）が生成される。

次に、ダミーデータ生成加工部２０８は、図１５に示した中間データ（４）のレコードをシャッフルする（Ｓ１１４）。レコードをシャッフルするのは、元のデータの並び順のままであると元データの値を推測されるリスクがあるためである。このような処理により図１５に示した中間データ（４）から図１６に示した中間データ（５）が生成される。

次に、ダミーデータ生成加工部２０８は、元データとシャッフル後のダミーデータのレコード間のレコード対応テーブル６００を更新する（Ｓ１１５）。これは、上記ステップＳ１１４の処理において、ダミーデータ生成加工部２０８がシャッフルにおける処理内容を保存しておき、その処理内容に基づいてレコード間の対応関係を更新すればよい。

次に、ダミーデータ生成加工部２０８は、履歴となる項目（図示省略）に、ダイジェスト情報で指定された範囲内のランダムな値を出力する（Ｓ１１６）。履歴の利用日３４２には指定された期間内での日付の値を設定し、利用加盟店３４３には取り得る値のリストからランダムに選択した値を設定し、支払方法３４４には取り得る値のリストからランダムに選択した値を設定し、利用金額３４５には取り得る値の範囲からランダムに選択した値を設定する。

以上の処理が完了すると、ダミーデータ生成加工部２０８、処理が完了した中間データ（５）をダミーデータとしてダミーデータＤＢ２４２へ格納し、ダミーデータ生成処理を終了する（Ｓ１１７）。

以上のフローチャートの処理に従うことで、匿名加工に関する一つの特徴量である重複レコードについて、重複レコード毎に統計分布の目標値（目標統計分布）を満たすようなダミーデータを生成することができる。また、この生成過程において、目標値に近づくようにある確率で別のレコード値に変換する処理を加えることにより、ダミーデータから元データの推測が困難となる。また、この生成過程において、元データとダミーデータのレコードの対応づけを実施することができ、この対応表を活用することで、ダミーデータに対する匿名加工操作に基づいて元データの匿名加工操作を決定することができる。

また、データ需要者は、元データを自分で匿名加工しているかのように加工方法を決定して注文できるため、データ需要者の利用目的及びニーズに適合した匿名加工情報を迅速に入手することができるようになる。

実施例１では、ダミーデータの生成において、重複レコードの出現頻度について目標となる統計分布（目標統計分布）を決定した後に、その分布に近づけるために、各レコードに対して確率ｐでランダムに選択した別レコードに置換する処理を実施した。そして、ダミーデータ生成加工部２０８はレコードの置換前後で分布が近づくか否かを判定し、近づく場合にのみ置換処理を実施し、近づかない場合には何もしない処理を繰り返していた。

元データの重複レコード数の分布と、目標となる統計分布の差が大きい場合や、データのレコード数が多い場合には、より多くの置換処理が必要となる。そのため、ダミーデータの生成に時間がかかってしまう可能性がある。

そこで、本実施例２では、ダミーデータ生成の処理時間を短縮するために、中間データのレコードで出現頻度が目標の値より大きいレコードを集めたグループＡと、出現頻度が目標の値より小さいレコードを集めたグループＢに分けて、グループＡのレコードに対して確率ｐでグループＢからランダムに選択したレコード値に置換する。

以下では、実施例１との差分を中心に実施例２を説明する。差分は、ダミーデータ生成処理のみである。その他の構成については前記実施例１と同様である。

図１７Ａ、図１７Ｂは、本実施例２におけるダミーデータ生成処理のフローチャートを示す。図１７Ａは、フローチャートの前半部を示し、図１７Ｂは、フローチャートの後半部を示す。

ステップＳ２０１からＳ２０６までの処理は、実施例１における図６Ａに示したダミーデータ生成処理のステップＳ１０１からＳ１０６と同一である。Ｓ２０６までの処理で、図１３の中間データ（２）３６０が生成され、また、目標となる出現頻度が決定される。

次に、ダミーデータにおける重複レコードの出現頻度の統計分布を算出する（Ｓ２０７）。処理が完了すると、ステップＳ２０８へ進む。

次に、ダミーデータ生成加工部２０８は、中間データの統計分布が目標となる出現頻度の範囲内にあるか否かを判定する（Ｓ２０８）。統計分布が目標となる出現頻度の範囲内（Ｙｅｓ）である場合には、中間データの重複レコード数毎の統計分布が目標範囲に入っているため、ステップＳ２１２の処理に進む。

一方、判定結果がＮｏ（統計分布が目標範囲外）である場合には、まだ目標の統計分布になっていないため、ステップＳ２０９に進んで、ステップＳ２０９、Ｓ２１０、Ｓ２１１、Ｓ２０７の処理を再度行う。

次に、ダミーデータ生成加工部２０８は、中間データのレコードにおいて、出現頻度＞目標となるレコードの集合Ａと、出現頻度＜目標となるレコードの集合Ｂを特定する（Ｓ２０９）。処理が完了すると、ステップＳ２１０に進む。

次に、ダミーデータ生成加工部２０８は、集合Ａから置換対象のレコードを確率ｐで選択する。選択されたレコードがレコードａであるとする。ダミーデータ生成加工部２０８は、このレコードａに対して、レコード値の変換対象である集合Ｂからランダムにレコードｂを選択する（Ｓ２１０）。なお、選択されたレコードは複数あってもよく、その場合には、選択されたレコード数分だけ、変換対象のレコードも選択する。

次に、ダミーデータ生成加工部２０８は、上記ステップＳ２１０で選択したレコードａ，レコードｂでの各属性の値を取得し、レコードａでの属性の値のセットをレコードｂの属性の値のセットに置換する（Ｓ２１１）。

ダミーデータ生成加工部２０８は、上記ステップＳ２０８からステップＳ２１１までの処理を繰り返すことにより、ダミーデータの重複レコード数の統計分布を目標の分布に近づけることができる。

ステップＳ２１２からＳ２１７までの処理は、実施例１におけるダミーデータ生成処理のステップＳ１１２からＳ１１７と同一である。

以上の処理からなるダミーデータ生成により、元データと匿名加工に関する特徴を残し、かつ、データ需要者はダミーデータから元データを推測するのが困難な匿名加工データを生成することができる。

また、本実施例２では、前記実施例１と異なり、出現頻度を目標に常に近づけることができるため無駄な処理を抑制し、より少ない処理、より短い処理時間でダミーデータの生成処理が可能になる。

前記実施例１や実施例２では、（１）元データに基づくダミーデータの生成、（２）ダミーデータに対する匿名加工操作と、匿名加工操作情報に基づく元データに対する匿名加工操作情報の決定と、（３）元データに対する匿名加工の実行と、（４）匿名加工データの保持はすべてデータ流通基盤２０において実施していた。

しかしながら、データ提供者によっては元データを自分の管理する装置内に保管することを要求し、データ流通基盤に保管されることを嫌う可能性がある。そこで、本実施例３では、上記（３）の処理はデータ提供者のデータ提供者情報処理装置１０で実施し、上記（１）、（２）及び（４）の処理はデータ流通基盤２０で実施する。

以下では、前記実施例１との差分を中心に実施例３を説明する。差分は、元データの登録と加工及び注文の一連の処理のみである。

図１８は、本実施例３の元データの登録と加工、注文及び匿名加工データのダウンロードまでの一連の処理を実行するシーケンス図を示す。なお、ステップＳ１〜１０、Ｓ１２、Ｓ１３、Ｓ１５、Ｓ１６、Ｓ１８、Ｓ１９、Ｓ２２は前記実施例１の図４と同様である。

本実施例３においても、実施例１と同様にデータ流通基盤２０がデータ需要者のダミーデータに対する匿名加工操作画面２５０での匿名加工操作情報を収集し、元データに対する匿名加工操作情報を決定する。

本実施例３では、データ流通基盤２０は元データを保持しておらず、決定した加工操作情報をデータ提供者情報処理装置１０に送信する。なお、データ流通基盤２０はダミーデータ生成後に元データを破棄しておけばよい。

データ提供者情報処理装置１０では、元データを保持しており、データ流通基盤２０から受信した匿名加工操作情報（Ｓ５１、Ｓ５４、Ｓ５７）に基づいて、元データに対して匿名加工を実行する（Ｓ５２、Ｓ５５、Ｓ５８）。換言すれば、データ流通基盤２０は、元データに対する匿名加工操作を決定して匿名加工操作情報をデータ提供者情報処理装置１０に指示することで、元データに対する匿名加工を実行させる。

その後、データ提供者情報処理装置１０では、匿名加工を実施した後の加工中データの匿名化指標を算出し、算出した匿名化指標の値をデータ流通基盤２０に送信する（Ｓ５３、Ｓ５６、Ｓ５９）。

データ流通基盤２０では、受信した匿名化指標に基づいてダミーデータに対する匿名加工操作画面２５０の表示を更新する（Ｓ１２、Ｓ１５、Ｓ１８）。これらの処理は、データ需要者がデータ需要者情報処理装置３０で操作を行うたびに実行される（Ｓ１０、Ｓ１３、Ｓ１６）。

データ流通基盤２０がデータ需要者情報処理装置３０から注文依頼を受け付けると、データ流通基盤２０では匿名加工のレポートを生成し、データ提供者情報処理装置１０に送信する（Ｓ６０）。

また、データ提供者情報処理装置１０では、匿名加工レポートの受信後に、装置内に蓄積してある加工中データから匿名加工データを生成して（Ｓ６１）データ流通基盤２０にアップロードする（Ｓ６２）。

その後、データ流通基盤２０は、アップロードされた匿名加工データを匿名加工データＤＢ２４３に格納し、データ需要者情報処理装置３０にアクセス権を付与する。その後、データ需要者が匿名加工データを閲覧したり、ダウンロードすることが可能となる（Ｓ２２）。

以上の実施例３によれば、元データをデータ提供者情報処理装置１０に格納した状態でも、実施例１と同様に匿名加工データを生成し、データ需要者が閲覧及びダウンロードすることが可能である。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。

また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１０ データ提供者情報処理装置
２０ データ流通基盤
３０ データ需要者情報処理装置
４０ データ提供者業務システム
５０ データ需要者業務システム
１１、２１、３１ 主記憶装置
１２、２２、３２ 中央演算装置
１３、２３、３３ 出力装置
１４、２４、３４ 入力装置
１５、２５、３５ 蓄積部
１６、２６、３６ バス
１７、１８、２７、３７、３８ ネットワークインタフェース部
２０７ データ匿名加工部
２０８ ダミーデータ生成加工部

Claims (12)

1. プロセッサとメモリとストレージを備えたデータ流通基盤装置が、元データに匿名加工を実施した匿名加工データを提供するデータ流通方法であって、
   前記データ流通基盤装置が、前記元データをデータ提供者側装置から受け付ける第１のステップと、
   前記データ流通基盤装置が、前記元データの特徴量に基づいてダミーデータを生成する第２のステップと、
   前記データ流通基盤装置が、データ利用者側装置から前記ダミーデータに対する匿名加工の操作を受け付ける第３のステップと、
   前記データ流通基盤装置が、前記ダミーデータに対する匿名加工の操作に関する情報を匿名加工操作情報として取得し、当該匿名加工操作情報に基づいて前記元データに対する匿名加工処理を決定する第４のステップと、
   前記データ流通基盤装置が、前記決定された匿名加工処理を前記元データに適用して匿名加工データを生成する第５のステップと、
   を含み、
   前記第２のステップは、
   前記元データの値が重複する重複レコード数毎の統計分布を特徴量として、前記ダミーデータの重複レコード数毎の統計分布を用い、前記統計分布の目標とする目標統計分布を決定するステップと、
   所定の確率に従って前記元データから選択したレコードに対して、当該レコードの各項目の値をランダムに選択した他のレコードの値に置換した中間データを生成するステップと、
   前記中間データが、前記目標統計分布を満たした場合には、当該中間データをダミーデータとして生成するステップと、
   を含むことを特徴とするデータ流通方法。
2. 請求項１に記載のデータ流通方法であって、
   前記データ流通基盤装置が、生成された前記匿名加工データをデータ利用者側装置に提供する第６のステップをさらに含み、
   前記元データは、個人情報を含むことを特徴とするデータ流通方法。
3. 請求項２に記載のデータ流通方法であって、
   前記第２のステップは、
   前記個人情報の属性を表す項目の値を所定の識別子に置換した加工用元データを生成するステップを、さらに有し、
   前記中間データを生成するステップは、
   前記所定の確率に従って前記加工用元データから選択されたレコードに対して、当該レコードの各項目の値をランダムに選択した他のレコードの値に置換することを特徴とするデータ流通方法。
4. 請求項１に記載のデータ流通方法であって、
   前記第４のステップは、
   前記元データの加工を実行した後に匿名加工に関する指標を算出するステップを含み、
   前記第３のステップは、
   前回の元データの加工で算出した前記指標と、前記ダミーデータの加工操作を実施するための操作メニューとを前記データ利用者側装置へ出力するステップを含むことを特徴とするデータ流通方法。
5. 請求項１に記載のデータ流通方法であって、
   前記第２のステップは、
   前記ダミーデータのレコードと、前記元データのレコードの対応を管理するレコード対応情報を生成し、
   前記第４のステップは、
   前記レコード対応情報と、前記匿名加工操作情報に基づいて前記元データに対する匿名加工処理を決定することを特徴とするデータ流通方法。
6. 請求項１に記載のデータ流通方法であって、
   前記第２のステップは、
   前記中間データの統計分布と目標統計分布の差を算出し、前記中間データの出現頻度の方が大きい重複レコード数Ｎ１と、前記中間データの出現頻度の方が小さい重複レコード数Ｎ２を特定するステップと、
   前記重複レコード数Ｎ１に属するレコードの集合Ａと、前記重複レコード数Ｎ２に属するレコードの集合Ｂに分類するステップと、
   前記集合Ａに属するレコードから前記確率に従って選択するレコードに対し、当該レコードの各項目の値を前記集合Ｂに属するレコードからランダムに選択したレコードの値に置換するステップと、を含むことを特徴とするデータ流通方法。
7. プロセッサとメモリとストレージを備えたデータ流通基盤装置と、元データに匿名加工を実施した匿名加工データを生成するデータ提供者側装置と、を有し、前記データ提供者側装置が前記匿名加工データを前記データ流通基盤装置に出力し、前記データ流通基盤装置が匿名加工データを提供するデータ流通方法であって、
   前記データ流通基盤装置が、データ提供者側装置が保持する前記元データの特徴量に基づいてダミーデータを生成する第１のステップと、
   前記データ流通基盤装置が、データ利用者側装置から前記ダミーデータに対する匿名加工の操作を受け付ける第２のステップと、
   前記データ流通基盤装置が、前記ダミーデータに対する匿名加工の操作に関する情報を匿名加工操作情報として取得し、当該匿名加工操作情報に基づいて元データに対する匿名加工処理を決定する第３のステップと、
   前記データ流通基盤装置が、前記匿名加工処理をデータ提供者側装置に通知する第４のステップと、
   前記データ提供者側装置が、前記通知された匿名加工処理を前記元データに適用して匿名加工データを生成する第５のステップと、
   を含み、
   前記第１のステップは、
   前記元データの値が重複する重複レコード数毎の統計分布を特徴量として、前記ダミーデータの重複レコード数毎の統計分布を用い、前記統計分布の目標とする目標統計分布を決定するステップと、
   所定の確率に従って前記元データから選択したレコードに対して、当該レコードの各項目の値をランダムに選択した他のレコードの値に置換した中間データを生成するステップと、
   前記中間データが、前記目標統計分布を満たした場合には、当該中間データをダミーデータとして生成するステップと、
   を含むことを特徴とするデータ流通方法。
8. 請求項７に記載のデータ流通方法であって、
   前記データ流通基盤装置が、前記データ提供者側装置で生成された前記匿名加工データをデータ利用者側装置に提供する第６のステップをさらに含み、
   前記元データは、個人情報を含むことを特徴とするデータ流通方法。
9. 請求項８に記載のデータ流通方法であって、
   前記第１のステップは、
   前記個人情報の属性を表す項目の値を所定の識別子に置換した加工用元データを生成するステップを、さらに有し、
   前記中間データを生成するステップは、
   前記所定の確率に従って前記加工用元データから選択されたレコードに対して、当該レコードの各項目の値をランダムに選択した他のレコードの値に置換することを特徴とするデータ流通方法。
10. プロセッサとメモリとストレージを備えたデータ流通基盤装置であって、
    元データを受け付けて、当該元データの特徴量に基づいてダミーデータを生成するダミーデータ生成部と、
    前記ダミーデータに対する匿名加工の操作を受け付けて、前記ダミーデータに対する匿名加工の操作に関する情報を匿名加工操作情報として取得し、当該匿名加工操作情報に基づいて元データに対する匿名加工処理を決定し、前記匿名加工処理を前記元データに適用して匿名加工データを生成するデータ匿名加工部と、を有し、
    前記ダミーデータ生成部は、
    前記元データの値が重複する重複レコード数毎の統計分布を特徴量として、前記ダミーデータの重複レコード数毎の統計分布を用い、前記統計分布の目標とする目標統計分布を決定し、所定の確率に従って前記元データから選択したレコードに対して、当該レコードの各項目の値をランダムに選択した他のレコードの値に置換した中間データを生成し、前記中間データが、前記目標統計分布を満たした場合には、当該中間データをダミーデータとして生成することを特徴とするデータ流通基盤装置。
11. 請求項１０に記載のデータ流通基盤装置であって、
    前記データ匿名加工部が、
    前記匿名加工データを送信し、
    前記元データは、個人情報を含むことを特徴とするデータ流通基盤装置。
12. 請求項１１に記載のデータ流通基盤装置であって、
    前記ダミーデータ生成部は、
    前記個人情報の属性を表す項目の値を所定の識別子に置換した加工用元データを生成し、前記所定の確率に従って前記加工用元データから選択されたレコードに対して、当該レコードの各項目の値をランダムに選択した他のレコードの値に置換することを特徴とするデータ流通基盤装置。

Images