JP6825016B2 - 個人情報の非識別化方法および装置 - Google Patents

Description

本発明はデータ処理技術に関するものであって、さらに詳細には遺伝アルゴリズムに基づいて個人情報を含むテーブルに対する非識別化を効率的に実行するための技術に関するものである。

情報通信技術（例えば、ビックデータ関連技術）が発展するにつれて、個人情報を収集する技術、収集した個人情報を分析する技術などが発展している。個人情報は、住民番号、住所、郵便番号、名前、誕生日、性別、病気、年俸などを含むことができる。このように、ビックデータ関連技術が発展するにつれて個人情報は多様な分野で使用され得る。例えば、企業は個人情報に基づいて特定の消費者に自社の商品、サービスなどを広告することができ、これに伴い、消費者は自分が所望する商品、サービスに対する情報を企業から容易に獲得することができる。

しかし、個人情報が無分別に使用されることによって、情報の主体である個人の基本権が侵害され得る。このような問題を解消するために個人情報の非識別化技術が考慮され得る。非識別化技術は、個人情報の一部又は全部を削除したり、代替（すなわち、個人情報を指示するデータに対する一般化実行）することにより、他の情報と結合しても特定個人を識別できないようにすることを意味する。個人情報に対する非識別化が遂行される場合、一般化レベル（ｌｅｖｅｌ）により個人情報が一般化される範囲が変わり得る。すべての一般化レベルのそれぞれに対する個人情報の非識別化が遂行される場合、非識別化された個人情報を生成するために多くの時間が消耗され得る。

また、一般化レベルにより個人情報の使用性、再識別化危険性などが変わり得る。例えば、個人情報のうち相対的に多くの部分が一般化される場合、非識別化された個人情報の分析時に相対的に多くのエラーが発生するため、非識別化された個人情報の使用性は低下され得る。その反対に、個人情報のうち相対的に少ない部分が一般化される場合、非識別化された個人情報は相対的に容易に推論されるか再識別され得るため、非識別化された個人情報の再識別化危険性は増加し得る。

また、個人情報の非識別化のためには、先にデータベースから個人情報を含むテーブルが獲得されなければならない。データベースから獲得されたテーブルは多様かつ多くの情報を含んでおり、必要な情報を含むテーブルを生成するために多くの時間が必要とされ得る。

前記のような問題点を解決するための本発明の目的は、個人情報を効率的に非識別化するための方法および装置を提供するところにある。

前記のような問題点を解決するための本発明の他の目的は、個人情報を含むテーブルのレコードに対する属性を設定するための方法および装置を提供するところにある。

前記目的を達成するための本発明の一実施例に係る個人情報非識別化装置で遂行される個人情報非識別化方法は、データベースから個人情報を指示する原始データが記録されたレコードを含む原始テーブルを獲得する段階、一般化レベルに基づいて前記原始テーブルに含まれたレコードそれぞれに記録された原始データを一般化することによって一般化されたデータを生成する段階、前記原始データおよび前記一般化されたデータで構成される一般化階層モデルを設定する段階、前記一般化階層モデルによって指示される階層構造に基づいて、個人情報の種類別一般化レベルを指示するテーブルを指示する複数の候補ノードを含む原始ラティスを生成する段階、および前記原始ラティスに含まれた前記複数の候補ノードのうちあらかじめ設定された基準を満足する少なくとも一つの候補ノードを含む最終ラティスを設定する段階を含む。

ここで、前記個人情報非識別化方法は、前記原始テーブルに含まれたレコードのそれぞれの属性を設定する段階をさらに含むことができる。

ここで、前記属性はＩＤ、ＱＩ、ＳＡおよびＩＡに分類され得、特定個人が明示的に識別される個人情報を指示する原始データが記録されたレコードはＩＤで設定され得、特定個人が暗黙的に識別される個人情報を指示する原始データが記録されたレコードはＱＩで設定され得、あらかじめ設定された基準以上の敏感度を有する個人情報を指示する原始データが記録されたレコードはＳＡで設定され得、ＳＡより低い敏感度を有する個人情報を指示する原始データが記録されたレコードはＩＡで設定され得る。

ここで、前記個人情報非識別化方法は、前記原始テーブルに含まれたレコードのうち前記属性がＩＤで設定されたレコードをマスキング処理する段階をさらに含むことができる。

ここで、前記個人情報非識別化方法は、前記原始テーブルに含まれたレコードのうち前記属性がＱＩで設定されたレコードに記録された原始データによって指示される個人情報の種類によって前記一般化レベルを設定する段階をさらに含むことができる。

ここで、前記テーブルに含まれたレコードのうち前記属性がＱＩで設定されたレコードに記録された原始データは、一般化レベルに基づいて一般化され得る。

ここで、前記最終ラティスを設定する段階は、前記原始ラティスに含まれた複数の候補ノードのうち少なくとも一つの候補ノードを選択する段階、前記少なくとも一つの候補ノードによって指示される一般化レベルに基づいて前記原始テーブルに対する非識別化を遂行することによって非識別化されたテーブルを生成する段階、あらかじめ設定された抑制基準を満足する非識別化されたテーブルに対応する候補ノードを最終ノードに設定する段階、および前記あらかじめ設定された基準を満足する候補ノードに対応する前記最終ノードを含む前記最終ラティスを設定する段階を含むことができる。

ここで、前記非識別化されたテーブルは、Ｋ−匿名性に基づいて生成されるか、前記Ｋ−匿名性およびＬ−多様性に基づいて生成されるか、または前記Ｋ−匿名性およびＴ−近接性に基づいて生成され得る。

ここで、前記あらかじめ設定された抑制基準は、前記非識別化されたテーブルを構成する同等クラスのうち前記あらかじめ設定されたＫ−匿名性を満足しない同等クラスの比率を指示することができる。

ここで、前記個人情報非識別化方法は、前記最終ラティスに含まれた少なくとも一つの最終ノードに対応する非識別化されたテーブルの再識別化危険性および有用性を計算する段階をさらに含むことができる。

前記目的を達成するための本発明の他の実施例に係る個人情報非識別化装置は、プロセッサおよび前記プロセッサを通じて実行される少なくとも一つの命令が保存されたメモリを含み、前記少なくとも一つの命令はデータベースから個人情報を指示する原始データが記録されたレコードを含む原始テーブルを獲得し、一般化レベルに基づいて前記原始テーブルに含まれたレコードのそれぞれに記録された原始データを一般化することによって一般化されたデータを生成し、前記原始データおよび前記一般化されたデータで構成される一般化階層モデルを設定し、前記一般化階層モデルによって指示される階層構造に基づいて、個人情報の種類別一般化レベルを指示するテーブルを指示する複数の候補ノードを含む原始ラティスを生成し、そして前記原始ラティスに含まれた前記複数の候補ノードのうちあらかじめ設定された基準を満足する少なくとも一つの候補ノードを含む最終ラティスを設定するように実行可能である。

ここで、前記少なくとも一つの命令は、前記原始テーブルに含まれたレコードのそれぞれの属性を設定するようにさらに実行可能であり得る。

ここで、前記属性はＩＤ、ＱＩ、ＳＡおよびＩＡに分類され得、特定個人が明示的に識別される個人情報を指示する原始データが記録されたレコードはＩＤで設定され得、特定個人が暗黙的に識別される個人情報を指示する原始データが記録されたレコードはＱＩで設定され得、あらかじめ設定された基準以上の敏感度を有する個人情報を指示する原始データが記録されたレコードはＳＡで設定され得、ＳＡより低い敏感度を有する個人情報を指示する原始データが記録されたレコードはＩＡで設定され得る。

ここで、前記少なくとも一つの命令は、前記原始テーブルに含まれたレコードのうち前記属性がＩＤで設定されたレコードをマスキング処理するようにさらに実行可能であり得る。

ここで、前記少なくとも一つの命令は、前記原始テーブルに含まれたレコードのうち前記属性がＱＩで設定されたレコードに記録された原始データによって指示される個人情報の種類によって前記一般化レベルを設定するようにさらに実行可能であり得る。

ここで、前記テーブルに含まれたレコードのうち前記属性がＱＩで設定されたレコードに記録された原始データは、一般化レベルに基づいて一般化され得る。

ここで、前記少なくとも一つの命令は前記最終ラティスを設定する場合、前記原始ラティスに含まれた複数の候補ノードのうち少なくとも一つの候補ノードを選択し、前記少なくとも一つの候補ノードによって指示される一般化レベルに基づいて前記原始テーブルに対する非識別化を遂行することによって非識別化されたテーブルを生成し、あらかじめ設定された抑制基準を満足する非識別化されたテーブルに対応する候補ノードを最終ノードに設定し、そして前記あらかじめ設定された基準を満足する候補ノードに対応する前記最終ノードを含む前記最終ラティスを設定するように実行可能であり得る。

ここで、前記非識別化されたテーブルはＫ−匿名性に基づいて生成されるか、前記Ｋ−匿名性およびＬ−多様性に基づいて生成されるか、または前記Ｋ−匿名性およびＴ−近接性に基づいて生成され得る。

ここで、前記あらかじめ設定された抑制基準は、前記非識別化されたテーブルを構成する同等クラスのうち前記あらかじめ設定されたＫ−匿名性を満足しない同等クラスの比率を指示することができる。

ここで、前記少なくとも一つの命令は、前記最終ラティスに含まれた少なくとも一つの最終ノードに対応する非識別化されたテーブルの再識別化危険性および有用性を計算するようにさらに実行可能であり得る。

前記目的を達成するための本発明の他の実施例に係る個人情報非識別化装置で遂行される個人情報非識別化方法は、原始テーブルに含まれたレコードのそれぞれに記録された原始データが指示する個人情報の種類別一般化レベルに基づいて、個人情報の種類別一般化レベルを指示する少なくとも一つのノードで構成される複数の階層を含む原始ラティスを生成する段階、前記複数の階層のうち階層−ｎに属する任意のノードを選択ノード−１に設定し、階層−ｍに属する任意のノードを選択ノード−２に設定する段階、前記選択ノード−１および前記選択ノード−２のそれぞれに対応する非識別化されたテーブルの抑制値比率とあらかじめ設定された抑制臨界値の比較結果に基づいて、前記原始ラティスに属する任意のノードのそれぞれを交差ノードおよび変移ノードと設定する段階、および前記選択ノード−１、前記選択ノード−２、前記交差ノードおよび前記変移ノードのうち前記あらかじめ設定された抑制臨界値以下の抑制値比率を有する非識別化されたテーブルに対応するノードで構成される最終ラティスを設定する段階を含み、前記ｎおよびｍのそれぞれは自然数であり、前記非識別化されたテーブルはノードが指示する一般化レベルに対応するデータに基づいて前記原始テーブルが非識別化された結果であり、前記抑制値の比率は前記非識別化されたテーブルを構成する同等クラスのうちあらかじめ設定されたＫ−匿名性を満足しない同等クラスの比率である。

ここで、前記原始ラティス内で前記選択ノード−１は前記選択ノード−２と連結され得る。

ここで、前記階層−ｎは前記原始ラティスの複数の階層のうち最下位階層から２／３地点に位置する階層であり得、前記階層−ｍは前記原始ラティスの複数の階層のうち最下位階層から１／３地点に位置する階層であり得る。

ここで、前記選択ノード−１および前記選択ノード−２のそれぞれに対応する非識別化されたテーブルの抑制値比率が前記あらかじめ設定された抑制臨界値以下である場合、前記交差ノードは前記複数の階層のうち前記階層−ｍと最下位階層の間の１／２地点に位置する階層に属する任意のノードで設定され得、前記変移ノードは前記複数の階層のうち前記階層−ｍに属するノードのうち前記選択ノード−２を除いた任意のノードで設定され得る。

ここで、前記選択ノード−１に対応する非識別化されたテーブルの抑制値比率が前記あらかじめ設定された抑制臨界値以下であり、前記選択ノード−２に対応する非識別化されたテーブルの抑制値比率が前記あらかじめ設定された抑制臨界値を超過する場合、前記交差ノードは前記複数の階層のうち前記階層−ｎと前記階層−ｍの間の１／２地点に位置する階層に属する任意のノードで設定され得、前記変移ノードは前記複数の階層のうち前記階層−ｎに属するノードのうち前記選択ノード−１を除いた任意のノードで設定され得る。

ここで、前記選択ノード−１および前記選択ノード−２のそれぞれに対応する非識別化されたテーブルの抑制値比率が前記あらかじめ設定された抑制臨界値を超過する場合、前記交差ノードは前記複数の階層のうち前記階層−ｎと最上位階層の間の１／２地点に位置する階層に属する任意のノードで設定され得、前記変移ノードは前記複数の階層のうち前記階層−ｎに属するノードのうち前記選択ノード−１を除いた任意のノードで設定され得る。

ここで、前記最終ラティスを構成するノードの個数は前記複数の階層のうち最も多いノードを含む階層に属したノード個数のｘ倍以上であり得、前記ｘは０を超過する実数であり得る。

前記目的を達成するための本発明の他の実施例に係る個人情報非識別化装置は、プロセッサおよび前記プロセッサを通じて実行される少なくとも一つの命令が保存されたメモリを含み、前記少なくとも一つの命令は原始テーブルに含まれたレコードのそれぞれに記録された原始データが指示する個人情報の種類別一般化レベルに基づいて、個人情報の種類別一般化レベルを指示する少なくとも一つのノードで構成される複数の階層を含む原始ラティスを生成する段階、前記複数の階層のうち階層−ｎに属する任意のノードを選択ノード−１に設定し、階層−ｍに属する任意のノードを選択ノード−２に設定し、前記選択ノード−１および前記選択ノード−２のそれぞれに対応する非識別化されたテーブルの抑制値比率とあらかじめ設定された抑制臨界値の比較結果に基づいて、前記原始ラティスに属する任意のノードのそれぞれを交差ノードおよび変移ノードと設定し、そして前記選択ノード−１、前記選択ノード−２、前記交差ノードおよび前記変移ノードのうち前記あらかじめ設定された抑制臨界値以下の抑制値比率を有する非識別化されたテーブルに対応するノードで構成される最終ラティスを設定するように実行可能であり、前記ｎおよびｍのそれぞれは自然数であり、前記非識別化されたテーブルはノードが指示する一般化レベルに対応するデータに基づいて前記原始テーブルが非識別化された結果であり、前記抑制値の比率は前記原始テーブルのレコードに記録された原始データのうち前記非識別化されたテーブルを生成するために抑制値に設定される比率を指示する。

ここで、前記原始ラティス内で前記選択ノード−１は前記選択ノード−２と連結され得る。

ここで、前記階層−ｎは前記原始ラティスの複数の階層のうち最下位階層から２／３地点に位置する階層であり得、前記階層−ｍは前記原始ラティスの複数の階層のうち最下位階層から１／３地点に位置する階層であり得る。

ここで、前記選択ノード−１および前記選択ノード−２のそれぞれに対応する非識別化されたテーブルの抑制値比率が前記あらかじめ設定された抑制臨界値以下である場合、前記交差ノードは前記複数の階層のうち前記階層−ｍと最下位階層の間の１／２地点に位置する階層に属する任意のノードで設定され得、前記変移ノードは前記複数の階層のうち前記階層−ｍに属するノードのうち前記選択ノード−２を除いた任意のノードで設定され得る。

ここで、前記選択ノード−１に対応する非識別化されたテーブルの抑制値比率が前記あらかじめ設定された抑制臨界値以下であり、前記選択ノード−２に対応する非識別化されたテーブルの抑制値比率が前記あらかじめ設定された抑制臨界値を超過する場合、前記交差ノードは前記複数の階層のうち前記階層−ｎと前記階層−ｍの間の１／２地点に位置する階層に属する任意のノードで設定され得、前記変移ノードは前記複数の階層のうち前記階層−ｎに属するノードのうち前記選択ノード−１を除いた任意のノードで設定され得る。

ここで、前記選択ノード−１および前記選択ノード−２のそれぞれに対応する非識別化されたテーブルの抑制値比率が前記あらかじめ設定された抑制臨界値を超過する場合、前記交差ノードは前記複数の階層のうち前記階層−ｎと最上位階層の間の１／２地点に位置する階層に属する任意のノードで設定され得、前記変移ノードは前記複数の階層のうち前記階層−ｎに属するノードのうち前記選択ノード−１を除いた任意のノードで設定され得る。

ここで、前記最終ラティスを構成するノードの個数は前記複数の階層のうち最も多いノードを含む階層に属したノード個数のｘ倍以上であり得、前記ｘは０を超過する実数であり得る。

前記他の目的を達成するための本発明の一実施例に係る個人情報非識別化装置で遂行される個人情報を含むテーブルのレコードに対する属性設定方法は、前記個人情報の検索および前記レコードの属性設定のために使用される正規表現式を設定する段階、前記テーブルの検索対象範囲を設定する段階、前記正規表現式に基づいて前記テーブルのうち前記検索対象範囲によって指示される領域内で前記個人情報を検索する段階、および前記正規表現式に基づいて前記個人情報が記録された前記レコードの属性を設定する段階を含む。

ここで、前記検索対象範囲は前記テーブルを構成するレコードの個数を指示することができる。

ここで、前記テーブルは非−個人情報をさらに含むことができ、前記正規表現式は前記非−個人情報の検索および前記非−個人情報が記録された前記レコードの属性設定のために使用され得る。

ここで、前記レコードの属性はＩＤ、ＱＩ、ＳＡおよびＩＡに分類され得る。

ここで、前記レコードの属性を設定する段階で特定個人を明示的に識別する個人情報が記録されたレコードの属性はＩＤで設定され得、特定個人を暗黙的に識別する個人情報が記録されたレコードの属性はＱＩで設定され得、あらかじめ設定された基準以上の敏感度を有する個人情報が記録されたレコードの属性はＳＡで設定され得、ＳＡより低い敏感度を有する個人情報が記録されたレコードの属性はＩＡで設定され得る。

ここで、前記レコードに対する属性設定方法は、ＩＤ属性を有するレコードに記録された個人情報に対するマスキング処理の有無を設定する段階をさらに含むことができる。

前記他の目的を達成するための本発明の他の実施例に係る個人情報非識別化装置は、プロセッサおよび前記プロセッサによって実行される少なくとも一つの命令が保存されたメモリを含み、前記少なくとも一つの命令は個人情報の検索および前記個人情報を含むテーブルのレコードに対する属性設定のために使用される正規表現式を設定し、前記テーブルの検索対象範囲を設定し、前記正規表現式に基づいて前記テーブルのうち前記検索対象範囲によって指示される領域内で前記個人情報を検索し、そして前記正規表現式に基づいて前記個人情報が記録された前記レコードの属性を設定するように実行される。

ここで、前記検索対象範囲は前記テーブルを構成するレコードの個数を指示することができる。

ここで、前記テーブルは非−個人情報をさらに含むことができ、前記正規表現式は前記非−個人情報の検索および前記非−個人情報が記録された前記レコードの属性設定のために使用され得る。

ここで、前記レコードの属性はＩＤ、ＱＩ、ＳＡおよびＩＡに分類され得る。

ここで、前記レコードの属性を設定する場合に前記少なくとも一つの命令は特定個人を明示的に識別する個人情報が記録されたレコードの属性をＩＤで設定するように実行され得、特定個人を暗黙的に識別する個人情報が記録されたレコードの属性をＱＩで設定するように実行され得、あらかじめ設定された基準以上の敏感度を有する個人情報が記録されたレコードの属性をＳＡで設定するように実行され得、ＳＡより低い敏感度を有する個人情報が記録されたレコードの属性をＩＡで設定するように実行され得る。

ここで、前記少なくとも一つの命令は、ＩＤ属性を有するレコードに記録された個人情報に対するマスキング処理の有無を設定するようにさらに実行され得る。

本発明によると、あらかじめ設定された基準を満足する一般化レベルに対応する個人情報に対する非識別化が遂行されるため、非識別化手続きが迅速に遂行され得る。また、非識別化された個人情報の使用性が向上し得、非識別化された個人情報の再識別化危険性が減少（または個人情報の再識別化危険性が除去）し得る。

また、顧客のデータ類型、使用目的などを考慮して個人情報の非識別化が遂行され得、これに伴い、非識別化された個人情報の使用性がより向上し得る。個人情報の非識別化のために遺伝アルゴリズムが使用されることによって個人情報の非識別化が迅速に遂行され得る。

また、個人情報を含むテーブルのレコードに対する属性が効率的に（または速かに）設定され得る。したがって、個人情報の非識別化がより迅速に遂行され得る。

本発明に係る方法を遂行する個人情報非識別化装置の一実施例を図示したブロック図。 個人情報非識別化方法についての一実施例を図示したフローチャート。 レコードの属性設定方法についての一実施例を図示したフローチャート。 テーブルの一実施例を図示した概念図。 ＧＨモデルを設定する方法についての一実施例を図示したフローチャート。 郵便番号レコードについてのＧＨモデルの一実施例を図示した概念図。 年齢レコードについてのＧＨモデルの一実施例を図示した概念図。 国籍レコードについてのＧＨモデルの一実施例を図示した概念図。 性別レコードについてのＧＨモデルの一実施例を図示した概念図。 非識別化されたテーブルの一実施例を図示した概念図。 非識別化されたテーブルの他の実施例を図示した概念図。 原始ラティスの一実施例を図示した概念図。 最終ラティスの設定方法を図示したフローチャート。 マスキング処理されたレコードを含むテーブルの一実施例を図示した概念図。

前記目的を達成するための本発明の一実施例に係る個人情報非識別化装置で遂行される個人情報非識別化方法は、データベースから個人情報を指示する原始データが記録されたレコードを含む原始テーブルを獲得する段階、一般化レベルに基づいて前記原始テーブルに含まれたレコードのそれぞれに記録された原始データを一般化することによって一般化されたデータを生成する段階、前記原始データおよび前記一般化されたデータで構成される一般化階層モデルを設定する段階、前記一般化階層モデルによって指示される階層構造に基づいて、個人情報の種類別一般化レベルを指示するテーブルを指示する複数の候補ノードを含む原始ラティスを生成する段階、および前記原始ラティスに含まれた前記複数の候補ノードのうちあらかじめ設定された基準を満足する少なくとも一つの候補ノードを含む最終ラティスを設定する段階を含む。

本発明は多様な変更を加えることができ、多様な実施例を有することができるところ、特定の実施例を図面に例示して詳細に説明する。しかし、これは本発明を特定の実施形態に対して限定しようとするものではなく、本発明の思想および技術範囲に含まれるすべての変更、均等物乃至代替物を含むものと理解されるべきである。

第１、第２等の用語は多様な構成要素の説明に使用され得るが、前記構成要素は前記用語によって限定されてはならない。前記用語は一つの構成要素を他の構成要素から区別する目的でのみ使用される。例えば、本発明の権利範囲を逸脱することなく第１構成要素は第２構成要素と命名され得、同様に第２構成要素も第１構成要素と命名され得る。および／またはという用語は複数の関連した記載された項目の組み合わせまたは複数の関連した記載された項目のうちいずれかの項目を含む。

ある構成要素が他の構成要素に「連結されて」いるとか「接続されて」いると言及された時には、その他の構成要素に直接的に連結されていたりまたは接続されていてもよいが、中間に他の構成要素が存在してもよいと理解されるべきである。反面、ある構成要素が他の構成要素に「直接連結されて」いるとか「直接接続されて」いると言及された時には、中間に他の構成要素が存在しないものと理解されるべきである。

本出願で使用した用語は単に特定の実施例を説明するために使用されたものであって、本発明を限定しようとする意図ではない。単数の表現は文脈上明白に異なることを意味しない限り、複数の表現を含む。本出願で、「含む」または「有する」等の用語は明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定しようとするものであって、一つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものなどの存在または付加の可能性をあらかじめ排除しないものと理解されるべきである。

異なって定義されない限り、技術的または科学的な用語を含んでここで使用されるすべての用語は、本発明が属する技術分野で通常の知識を有する者によって一般的に理解されるものと同じ意味を有している。一般的に使用される辞書に定義されているような用語は、関連技術の文脈上有する意味と一致する意味を有するものと解釈されるべきであり、本出願で明白に定義しない限り、理想的または過度に形式的な意味と解釈されない。

以下、添付した図面を参照して、本発明の好ましい実施例をより詳細に説明する。本発明の説明において全体的な理解を容易にするために、図面上の同じ構成要素については同じ参照符号を付し、同じ構成要素についての重複する説明は省略する。

図１は、本発明に係る方法を遂行する個人情報非識別化装置の一実施例を図示したブロック図である。

図１を参照すると、個人情報非識別化装置１００は、少なくとも一つのプロセッサ１１０およびメモリ１２０を含むことができる。また、個人情報非識別化装置１００は、ネットワークと連結されて通信を遂行するネットワークインタフェース装置１３０、入力インタフェース装置１４０、出力インタフェース装置１５０、保存装置１６０等をさらに含むことができる。個人情報非識別化装置１００に含まれたそれぞれの構成要素は、バス（ｂｕｓ）１７０により連結されて通信を遂行することができる。個人情報非識別化装置１００は簡略に「非識別化装置１００」と呼ばれ得る。

プロセッサ１１０はメモリ１２０および／または保存装置１６０に保存されたプログラム命令（ｐｒｏｇｒａｍ ｃｏｍｍａｎｄ）を実行することができる。プロセッサ１１０は、中央処理装置（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ；ＣＰＵ）、グラフィック処理装置（ｇｒａｐｈｉｃｓ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ；ＧＰＵ）または本発明に係る方法が実行される専用のプロセッサを意味し得る。メモリ１２０と保存装置１６０は揮発性保存媒体および／または不揮発性保存媒体で構成され得る。例えば、メモリ１２０は、読み取り専用メモリ（ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ；ＲＯＭ）および／またはランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ；ＲＡＭ）で構成され得る。

ここで、非識別化装置１００は、デスクトップコンピュータ（ｄｅｓｋｔｏｐ ｃｏｍｐｕｔｅｒ）、ラップトップコンピュータ（ｌａｐｔｏｐ ｃｏｍｐｕｔｅｒ）、タブレット（ｔａｂｌｅｔ）ＰＣ、無線電話機（ｗｉｒｅｌｅｓｓ ｐｈｏｎｅ）、モバイルフォン（ｍｏｂｉｌｅ ｐｈｏｎｅ）、スマートフォン（ｓｍａｒｔ ｐｈｏｎｅ）等であり得る。

一方、非識別化装置１００で遂行される方法（例えば、信号の伝送または受信）が説明される場合にも、これに対応する他の装置は非識別化装置１００で遂行される方法と相応する方法（例えば、信号の受信または伝送）を遂行することができる。すなわち、非識別化装置１００の動作が説明された場合に、これに対応する他の装置は非識別化装置１００の動作と相応する動作を遂行することができる。その反対に、他の装置の動作が説明された場合に、これに対応する非識別化装置１００は他の装置の動作と相応する動作を遂行することができる。

図２は、個人情報非識別化方法についての一実施例を図示したフローチャートである。

図２を参照すると、個人情報非識別化方法は、図１を参照して説明された非識別化装置１００（例えば、非識別化装置１００に含まれたプロセッサ１１０）により遂行され得る。非識別化装置１００は、データベース（ｄａｔａｂａｓｅ）（またはＣＳＶ（ｃｏｍｍａ−ｓｅｐａｒａｔｅｄ ｖａｌｕｅｓ）ファイルなど）から複数のレコード（ｒｅｃｏｒｄ）で構成されるテーブル（ｔａｂｌｅ）を獲得することができる（Ｓ２００）。複数のレコードのそれぞれに個人情報を指示する原始データが記録され得る。また、複数のレコードのそれぞれに個人情報以外の情報（以下、「非−個人情報」という）を指示する原始データが記録され得る。データベースは非識別化装置１００内に位置することができ、または他の装置（例えば、サーバー）内に位置することができる。

テーブルを獲得するために、非識別化装置１００はデータベースへの接続のために使用される接続情報（例えば、ＩＰ（ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ）住所、ポート（ｐｏｒｔ）番号、ＩＤ（ｉｄｅｎｔｉｆｉｅｒ）、ＳＩＤ（ｓｙｓｔｅｍ ＩＤ）、パスワードなど）を生成することができる。または接続情報は非識別化装置１００の入力インタフェース装置１４０を通じて使用者から獲得され得る。非識別化装置１００は生成された接続情報に基づいてデータベースへの接続が承認された場合、データベースから複数のレコードで構成されるテーブルを獲得することができる。

非識別化装置１００はテーブルに含まれた複数のレコードのそれぞれの属性を設定することができる（Ｓ２１０）。レコードに対する属性は次の通り設定され得る。

図３は、レコードの属性設定方法についての一実施例を図示したフローチャートである。

図３を参照すると、非識別化装置１００は正規表現式（ｒｅｇｕｌａｒ ｅｘｐｒｅｓｓｉｏｎ）を設定することができる（Ｓ２１１）。正規表現式はテーブルのレコードに記録された個人情報、非−個人情報などを検索するために使用され得る。したがって、非識別化装置１００は正規表現式によって検索される個人情報の種類を設定することができる。個人情報の種類として、住民番号（またはパスポート番号、ＳＳＮ（ｓｏｃｉａｌ ｓｅｃｕｒｉｔｙ ｎｕｍｂｅｒ））、名前、住所、郵便番号、年齢、国籍、性別、病気などが存在し得る。また、非識別化装置１００は正規表現式によって検索される非−個人情報の種類を設定することができる。非−個人情報の種類として患者番号などが存在し得る。個人情報および非−個人情報の種類情報は非識別化装置１００の入力インタフェース装置１４０を通じて使用者から獲得され得る。

また、正規表現式は検索された個人情報、非−個人情報などが記録されたレコードの属性を設定するために使用され得る。レコードの属性は、ＩＤ、ＱＩ（ｑｕａｓｉ−ｉｄｅｎｔｉｆｉｅｒ）、ＳＡ（ｓｅｎｓｉｔｉｖｅ ａｔｔｒｉｂｕｔｅ）、ＩＡ（ｉｎｓｅｎｓｉｔｉｖｅ ａｔｔｒｉｂｕｔｅ）（またはＮＳＡ（ｎｏｎ−ＳＡ））等に分類され得る。ＩＤは特定個人が明示的（ｅｘｐｌｉｃｉｔ）に識別される個人情報を指示することができる。特定個人はＩＤで設定された一つの個人情報だけで識別され得る。例えば、非識別化装置１００は、住民番号、名前、住所などが記録されたレコードの属性がＩＤで設定されるように、正規表現式を設定することができる。ＱＩは特定個人が暗黙的（ｎｏｎ−ｅｘｐｌｉｃｉｔ）に識別される個人情報を指示することができる。特定個人はＱＩで設定された一つの個人情報だけでは識別することができず、ＱＩで設定された一つの個人情報と他の個人情報の組み合わせで識別され得る。例えば、非識別化装置１００は、郵便番号、年齢、国籍、性別などが記録されたレコードの属性がＱＩで設定されるように、正規表現式を設定することができる。

ＳＡは保護が要求される敏感な個人情報（例えば、あらかじめ設定された基準以上の敏感度を有する個人情報）を指示することができる。ＳＡで設定された個人情報が公開される場合、特定個人の身上に問題が発生し得る。例えば、非識別化装置１００は病気などが記録されたレコードの属性がＳＡで設定されるように、正規表現式を設定することができる。ＩＡは敏感でない個人情報を指示することができる。またはＩＡはＳＡより低い敏感度を有する個人情報を指示することができる。ＩＡで設定された個人情報が公開される場合、特定個人の身上に問題は発生しない。例えば、非識別化装置１００は、郵便番号、年齢、国籍、性別などが記録されたレコードの属性がＩＡで設定されるように、正規表現式を設定することができる。

非識別化装置１００はテーブルの検索対象範囲を設定することができる（Ｓ２１２）。検索対象範囲はテーブルの一部領域を指示することができ、検索対象範囲によって指示される領域に段階Ｓ２１１で設定された正規表現式が適用され得る。すなわち、検索対象範囲内の原始データのみを使用することによって、テーブル内のすべての原始データが指示する個人情報の種類（または非−個人情報の種類）が把握され得、原始データが記録されたレコードの属性が決定され得る。検索対象範囲はレコードの個数（例えば、テーブルのうちロー（ｒｏｗ）の個数）を指示することができる。例えば、検索対象範囲は１００個、１０００個などで設定され得る。ここで、段階Ｓ２１２は必要に応じて省略され得る。検索対象範囲情報は非識別化装置１００の入力インタフェース装置１４０を通じて使用者から獲得され得る。

非識別化装置１００はＩＤ属性を有するレコードの処理方式を設定することができる（Ｓ２１３）。例えば、ＩＤ属性を有するレコードの処理方式は次の通り分類され得る。最初の処理方式として、非識別化装置１００はＩＤ属性を有するレコードをテーブルから除外することができる。したがって、テーブルはＩＤ属性を有するレコードを含まないことがある。第２の処理方式として、非識別化装置１００はＩＤ属性を有するレコードに記録された原始データに対するマスキング（ｍａｓｋｉｎｇ）処理ができる。したがって、テーブルはＩＤ属性を有するレコードなどを含むことができ、ＩＤ属性を有するレコードにマスキング処理されたデータが記録され得る。第３の処理方式として、非識別化装置１００はＩＤ属性を有するレコードに記録された原始データをそのまま使用することができる。

非識別化装置１００はテーブルのうち検索対象範囲によって指示される領域に正規表現式を適用することができる（Ｓ２１４）。例えば、非識別化装置１００は正規表現式に基づいて検索対象範囲内で個人情報に該当する原始データを検索することができ、検索された原始データに対応する個人情報の種類を確認することができる。非識別化装置１００は確認された個人情報の種類に基づいてレコードの属性を設定することができる。

具体的には、非識別化装置１００はテーブルに含まれた住民番号レコード（すなわち、住民番号を指示する原始データが記録されたレコード）、名前レコード（すなわち、名前を指示する原始データが記録されたレコード）および住所レコード（すなわち、住所を指示する原始データが記録されたレコード）の属性をＩＤで設定することができる。ＩＤ属性を有するレコードは「ＩＤレコード」と呼ばれ得、したがって、ＩＤレコードは住民番号レコード、名前レコードおよび住所レコードを含むことができる。非識別化装置１００はテーブルに含まれた郵便番号レコード（すなわち、郵便番号を指示する原始データが記録されたレコード）、年齢レコード（すなわち、年齢を指示する原始データが記録されたレコード）、国籍レコード（すなわち、国籍を指示する原始データが記録されたレコード）および性別レコード（すなわち、性別を指示する原始データが記録されたレコード）の属性をＱＩで設定することができる。ＱＩ属性を有するレコードは「ＱＩレコード」と呼ばれ得、したがって、ＱＩレコードは郵便番号レコード、年齢レコード、国籍レコードおよび性別レコードを含むことができる。

非識別化装置１００はテーブルに含まれた病気レコード（すなわち、病気を指示する原始データが記録されたレコード）の属性をＳＡで設定することができる。ＳＡ属性を有するレコードは「ＳＡレコード」と呼ばれ得、したがって、ＳＡレコードは病気レコードを含むことができる。非識別化装置１００はテーブルに含まれた郵便番号レコード、年齢レコード、国籍レコードおよび性別レコードの属性をＩＡで設定することができる。ＩＡ属性を有するレコードは「ＩＡレコード」と呼ばれ得、したがって、ＩＡレコードは郵便番号レコード、年齢レコード、国籍レコードおよび性別レコードを含むことができる。ここで、テーブルに含まれた郵便番号レコード、年齢レコード、国籍レコードおよび性別レコードの属性は、ＱＩおよびＩＡで設定され得る。前述した方法によって処理されたテーブルは次の通りである。

図４は、テーブルの一実施例を図示した概念図である。

図４を参照すると、テーブル４００は複数のレコードを含むことができる。複数のレコードのそれぞれに記録された原始データは、個人情報である住民番号（またはパスポート番号、ＳＳＮ）、名前、住所、郵便番号、年齢、国籍、性別、病気などを指示することができる。テーブル４００を構成する住民番号レコード、名前レコードおよび住所レコードはＩＤレコードで設定され得る。テーブル４００を構成する郵便番号レコード、年齢レコード、国籍レコードおよび性別レコードはＱＩレコードで設定され得る。テーブル４００を構成する病気レコードはＳＡレコードで設定され得る。テーブル４００を構成する郵便番号レコード、年齢レコード、国籍レコードおよび性別レコードはＩＡレコードで設定され得る。

再び図３を参照すると、非識別化装置１００は段階Ｓ２１３で設定された処理方式に基づいてＩＤ属性を有するレコードを処理することができる。非識別化装置１００は属性設定が完了した複数のレコードを含むテーブルを、出力インターフェース装置１５０を通じてディスプレイすることができる（Ｓ２１５）。ここで、テーブルに含まれた複数のレコードのそれぞれは原始データ（すなわち、個人情報）で設定された属性を共に指示することができる。非識別化装置１００は使用者から設定された属性に対する修正要請を指示するメッセージを受信することができ、受信されたメッセージに基づいて該当レコードの属性を修正することができる。その後、非識別化装置１００は属性修正が完了した複数のレコードを含むテーブルを出力インターフェース装置１５０を通じてディスプレイすることができる。非識別化装置１００は使用者から属性に対する確認完了を指示するメッセージを受信することができ、この場合に次の段階を遂行することができる。ここで、属性に対する修正要請を指示するメッセージおよび属性に対する確認完了を指示するメッセージは、非識別化装置１００の入力インタフェース装置１４０を通じて受信され得る。

再び図２を参照すると、非識別化装置１００はテーブルに含まれたＱＩレコードに対する一般化階層（ｇｅｎｅｒａｌｉｚａｔｉｏｎ ｈｉｅｒａｒｃｈｙ；ＧＨ）モデル（ｍｏｄｅｌ）を設定することができる（Ｓ２２０）。ＧＨモデルの設定方法は次の通りである。

図５は、ＧＨモデルを設定する方法についての一実施例を図示したフローチャートである。

図５を参照すると、非識別化装置１００は、ＱＩレコードに記録された原始データに対する一般化レベルを設定することができる（Ｓ２２１）。非識別化装置１００はＱＩレコードの種類（すなわち、郵便番号レコード、年齢レコード、国籍レコード、性別レコード）により一般化レベルを設定することができる。例えば、非識別化装置１００は、郵便番号レコードに対する一般化レベルの範囲を一般化レベル−０から一般化レベル−２までに設定することができ、年齢レコードに対する一般化レベルの範囲を一般化レベル−０から一般化レベル−３までに設定することができ、国籍レコードに対する一般化レベルの範囲を一般化レベル−０から一般化レベル−２までに設定することができ、性別レコードに対する一般化レベルの範囲を一般化レベル−０から一般化レベル−１までに設定することができる。

原始データに対する一般化範囲は一般化レベルごとに同じであり得る。例えば、一般化レベル−１である場合に一般化範囲は１の単位であり得、これに伴い、年齢を指示する「２８」、「２９」、「２１」および「２３」は「２＊」に一般化され得る。一般化レベル−２である場合に一般化範囲は十の単位であり得、これに伴い、郵便番号を指示する「１３０５３」および「１３０６８」は「１３０＊＊」に一般化され得る。

非識別化装置１００はＱＩレコードに記録された原始データを一般化レベル−０に設定することができる（Ｓ２２２）。その後、非識別化装置１００は一般化レベルの範囲に基づいて一般化が遂行されるデータの範囲を設定することができ、一般化が遂行されるデータの範囲に基づいて原始データを一般化することができ、一般化されたデータを該当一般化レベル（例えば、一般化レベル−１、一般化レベル−２、一般化レベル−３等）に設定することができる（Ｓ２２３）。一般化が遂行されたデータの範囲は一般化レベル−０で最も小さく、一般化レベルが高くなるほど増加し得る。

非識別化装置１００は、低い一般化レベルに対応するデータと高い一般化レベルに対応するデータを順次連結することによって、ＧＨモデルを生成することができる（Ｓ２２４）。ＧＨモデルにおいて、最下位階層に一般化レベル−０と対応する原始データが位置することができ、一般化レベル−０より上位階層に一般化レベル−１と対応する一般化されたデータが位置することができ、一般化レベル−１より上位階層に一般化レベル−２と対応する一般化されたデータが位置することができ、一般化レベル−２より上位階層に一般化レベル−３と対応する一般化されたデータが位置することができる。ＧＨモデルのうち最上位階層ですべてのデータは一つのデータに一般化され得る。ＧＨモデルの実施例は次の通りである。

図６は、郵便番号レコードについてのＧＨモデルの一実施例を図示した概念図である。

図６を参照すると、郵便番号レコードに対するＧＨモデルは、一般化レベル−０〜一般化レベル−２で構成され得る。郵便番号レコードに記録された原始データである「１３０５３」、「１３０６８」、「１４８５０」および「１４８５３」は、一般化レベル−０に設定され得る。郵便番号レコードに記録された原始データのうち「１３０５３」および「１３０６８」は「１３０＊＊」に一般化され得、一般化されたデータである「１３０＊＊」は一般化レベル−１に設定され得る。郵便番号レコードに記録された原始データのうち「１４８５０」および「１４８５３」は「１４８＊＊」に一般化され得、一般化されたデータである「１４８＊＊」は一般化レベル−１に設定され得る。一般化レベル−１に対応する「１３０＊＊」および「１４８＊＊」は「＊＊＊＊＊」（または「１＊＊＊＊」）に一般化され得、一般化されたデータである「＊＊＊＊＊」（または「１＊＊＊＊」）は一般化レベル−２に設定され得る。郵便番号レコードに対するＧＨモデルは前述した内容に限定されず、多様に設定され得る。

図７は、年齢レコードについてのＧＨモデルの一実施例を図示した概念図である。

図７を参照すると、年齢レコードに対するＧＨモデルは一般化レベル−０〜一般化レベル−３で構成され得る。年齢レコードに記録された原始データである「２８」、「２９」、「２１」、「２３」、「３１」、「３７」、「３６」、「３５」、「４７」、「４９」、「５０」および「５５」は一般化レベル−０に設定され得る。年齢レコードに記録された原始データのうち「２８」、「２９」、「２１」および「２３」は「２＊」に一般化され得、一般化されたデータである「２＊」は一般化レベル−１に設定され得る。年齢レコードに記録された原始データのうち「３１」、「３７」、「３６」および「３５」は「３＊」に一般化され得、一般化されたデータである「３＊」は一般化レベル−１に設定され得る。年齢レコードに記録された原始データのうち「４７」および「４９」は「４＊」に一般化され得、一般化されたデータである「４＊」は一般化レベル−１に設定され得る。年齢レコードに記録された原始データのうち「５０」および「５５」は「５＊」に一般化され得、一般化されたデータである「５＊」は一般化レベル−１に設定され得る。

一般化レベル−１に対応する「２＊」および「３＊」は「＜４０」に一般化され得、一般化されたデータである「＜４０」は一般化レベル−２に設定され得る。一般化レベル−１に対応する「４＊」および「５＊」は「≧４０」に一般化され得、一般化されたデータである「≧４０」は一般化レベル−２に設定され得る。一般化レベル−２に対応する「＜４０」および「≧４０」は「＊＊」に一般化され得、一般化されたデータである「＊＊」は一般化レベル−３に設定され得る。年齢レコードに対するＧＨモデルは前述した内容に限定されず、多様に設定され得る。

図８は、国籍レコードについてのＧＨモデルの一実施例を図示した概念図である。

図８を参照すると、国籍レコードに対するＧＨモデルは一般化レベル−０〜一般化レベル−２で構成され得る。国籍レコードに記録された原始データである「韓国」、「日本」、「英国」および「ドイツ」は一般化レベル−０に設定され得る。国籍レコードに記録された原始データのうち「韓国」および「日本」は「アジア」に一般化され得、一般化されたデータである「アジア」は一般化レベル−１に設定され得る。国籍レコードに記録された原始データのうち「英国」および「ドイツ」は「ヨーロッパ」に一般化され得、一般化されたデータである「ヨーロッパ」は一般化レベル−１に設定され得る。一般化レベル−１に対応する「アジア」および「ヨーロッパ」は「全世界」（または「＊＊」）に一般化され得、一般化されたデータである「全世界」（または「＊＊」）は一般化レベル−２に設定され得る。国籍レコードに対するＧＨモデルは前述した内容に限定されず、多様に設定され得る。

図９は、性別レコードについてのＧＨモデルの一実施例を図示した概念図である。

図９を参照すると、性別レコードに対するＧＨモデルは一般化レベル−０および一般化レベル−１で構成され得る。性別レコードに記録された原始データである「男」および「女」は一般化レベル−０に設定され得る。一般化レベル−０に対応する「男」および「女」は「人」（または「＊」）に一般化され得、一般化されたデータである「人」（または「＊」）は一般化レベル−１に設定され得る。性別レコードに対するＧＨモデルは前述した内容に限定されず、多様に設定され得る。

再び図２を参照すると、非識別化装置１００はテーブルの非識別化のために使用されるパラメーター（ｐａｒａｍｅｔｅｒ）（以下、「非識別化パラメーター」という）を設定することができる（Ｓ２３０）。非識別化パラメーターはＫ−匿名性（ａｎｏｎｙｍｉｔｙ）、Ｌ−多様性（ｄｉｖｅｒｓｉｔｙ）、Ｔ−近接性（ｃｌｏｓｅｎｅｓｓ）等を含むことができる。テーブルの非識別化のために、Ｋ−匿名性、「Ｋ−匿名性＋Ｌ−多様性」または「Ｋ−匿名性＋Ｔ−近接性」が使用され得る。したがって、非識別化装置１００はＫ−匿名性を基本的に設定することができ、追加にＬ−多様性またはＴ−近接性を設定することができる。

具体的には、非識別化装置１００はＫ−匿名性のＫ値を設定することができる。または非識別化装置１００は入力インタフェース装置１４０を通じて使用者からＫ−匿名性のＫ値を獲得することができ、獲得されたＫ−匿名性のＫ値を使用することができる。Ｋ−匿名性のＫ値は同等クラスを構成するロー個数を指示することができる。

ここで、テーブルは少なくとも一つの同等クラス（ｅｑｕｉｖａｌｅｎｃｅ ｃｌａｓｓ）を含むことができ、一つの同等クラス内でＩＤレコードは同じデータ（例えば、原始データ、一般化されたデータ）を指示することができる。すなわち、同じデータが記録されたＩＤレコードと該当ＩＤレコードと関連する他のレコード（例えば、ＱＩレコード、ＳＡレコード、ＩＡレコードなど）は一つの同等クラスを構成することができる。テーブルはＫ−匿名性に基づいて非識別化され得、Ｋ−匿名性のＫ値が４である場合（すなわち、４−匿名性の場合）に非識別化されたテーブルは次の通りである。

図１０は、非識別化されたテーブルの一実施例を図示した概念図である。

図１０を参照すると、同等クラスのそれぞれは郵便番号レコード、年齢レコード、国籍レコード、性別レコードおよび病気レコードを含むことができる。ここで、図１０に図示された非識別化されたテーブル４００は、図４に図示されたテーブル４００のうち、住民番号レコード、名前レコードおよび住所レコードが除外されたものであり得る。同等クラスのそれぞれで郵便番号レコードは同じデータを指示することができ、年齢レコードは同じデータを指示することができる。

例えば、同等クラス−１で郵便番号レコードは「１３０＊＊」を指示することができ、年齢レコードは「＜３０」を指示することができる。同等クラス−２で郵便番号レコードは「１４８５＊」を指示することができ、年齢レコードは「≧４０」を指示することができる。同等クラス−３で郵便番号レコードは「１３０＊＊」を指示することができ、年齢レコードは「３＊」を指示することができる。

再び図２を参照すると、非識別化装置１００はＬ−多様性のＬ値を設定することができる。または非識別化装置１００は入力インタフェース装置１４０を通じて使用者からＬ−多様性のＬ値を獲得することができ、獲得されたＬ−多様性のＬ値を使用することができる。Ｌ−多様性のＬ値は、テーブル内の同等クラスのそれぞれに属するＳＡレコードに記録されたデータのうち互いに異なるデータの個数であり得る。図１１に図示された非識別化されたテーブル４００内の同等クラス−１でＬ−多様性のＬ値は２（すなわち、病気レコードに指示される互いに異なる病気の個数）であって、同等クラス−２でＬ−多様性のＬ値は３であり得、同等クラス−３でＬ−多様性のＬ値は１であり得る。テーブルはＫ−匿名性およびＬ−多様性に基づいて非識別化され得、Ｋ−匿名性のＫ値が４であり、Ｌ−多様性のＬ値が３である場合（すなわち、４−匿名性および３−多様性の場合）に非識別化されたテーブルは次の通りである。

図１１は非識別化されたテーブルの他の実施例を図示した概念図である。

図１１を参照すると、非識別化されたテーブル４００の同等クラス−１で病気レコードは３個の互いに異なる病気（すなわち、胃炎、気管支炎、肺炎）を指示することができ、同等クラス−２で病気レコードは３個の互いに異なる病気（すなわち、肺炎、胃炎、気管支炎）を指示することができ、同等クラス−３で病気レコードは３個の互いに異なる病気（すなわち、胃炎、気管支炎、肺炎）を指示することができる。

再び図２を参照すると、非識別化装置１００はＴ−近接性のＴ値を設定することができる。または非識別化装置１００は入力インタフェース装置１４０を通じて使用者からＴ−近接性のＴ値を獲得することができ、獲得されたＴ−近接性のＴ値を使用することができる。テーブルはＫ−匿名性、Ｌ−多様性およびＴ−近接性（またはＫ−匿名性およびＴ−近接性）に基づいて非識別化され得る。Ｔ−近接性のＴ値は、テーブル内の同等クラスのそれぞれに属するＳＡレコードによって指示されるデータの間の距離であり得る。例えば、テーブルが年俸レコードを含む場合、テーブルの同等クラスのそれぞれで年俸レコードによって指示される年俸の間の距離（すなわち、差）がＴ−近接性のＴ値以内になるようにテーブルが非識別化され得る。

非識別化装置１００は抑制値比率に対する臨界値（以下、「抑制臨界値」という）を設定することができる（Ｓ２４０）。または非識別化装置１００は入力インタフェース装置１４０を通じて使用者から抑制臨界値を獲得することができ、獲得された抑制臨界値を使用することができる。抑制値比率は非識別化されたテーブルのうちＫ−匿名性を満足しない同等クラスの比率を指示することができる。または抑制値比率は非識別化されたテーブルのうちＫ−匿名性を満足しないレコードの比率を指示することができる。抑制値比率は下記の数式（１）に基づいて計算され得る。

抑制臨界値は多様な値で設定され得る。例えば、抑制臨界値は１０％で設定され得る。

非識別化装置１００はＧＨモデルに基づいて原始ラティス（ｌａｔｔｉｃｅ）を生成することができる（Ｓ２５０）。原始ラティスは複数のノードを含むことができ、複数のノードのそれぞれはＧＨモデルによって指示される一般化レベルと該当一般化レベルに対応するレコードを指示することができる。すなわち、非識別化装置１００はＧＨモデルによって指示される一般化レベルと該当一般化レベルに対応するレコードを指示するノードを設定することができ、ノードを一般化レベルの順序により連結することによって原始ラティスを生成することができる。図６に図示された郵便番号レコードのＧＨモデル、図７に図示された年齢レコードのＧＨモデルおよび図９に図示された性別レコードのＧＨモデルに基づいて生成された原始ラティスは次の通りである。

図１２は、原始ラティスの一実施例を図示した概念図である。

図１２を参照すると、原始ラティスは複数のノードを含むことができ、階層−０から階層−６で構成され得る。階層のそれぞれに少なくとも一つのノードが位置することができる。例えば、最下位階層（すなわち、階層−０）および最上位階層（すなわち、階層−６）のそれぞれに一つのノードが位置することができる。階層−１および階層−５のそれぞれに３個のノードが位置することができる。階層−２に５個のノードが位置することができる。階層−３および階層−４のそれぞれに６個のノードが位置することができる。

ここで、ａ０は図７に図示されたＧＨモデルでレベル−０である年齢レコードを指示することができ、ａ１は図７に図示されたＧＨモデルでレベル−１である年齢レコードを指示することができ、ａ２は図７に図示されたＧＨモデルでレベル−２である年齢レコードを指示することができ、ａ３は図７に図示されたＧＨモデルでレベル−３である年齢レコードを指示することができる。ｂ０は図６に図示されたＧＨモデルでレベル−０である郵便番号レコードを指示することができ、ｂ１は図６に図示されたＧＨモデルでレベル−１である郵便番号レコードを指示することができ、ｂ２は図６に図示されたＧＨモデルでレベル−２である郵便番号レコードを指示することができる。ｃ０は図９に図示されたＧＨモデルでレベル−０である性別レコードを指示することができ、ｃ１は図９に図示されたＧＨモデルでレベル−１である性別レコードを指示することができる。

したがって、「ａ０、ｂ０、ｃ０」ノードはレベル−０である年齢レコード、レベル−０である郵便番号レコードおよびレベル−０である性別レコードを指示することができる。「ａ１、ｂ０、ｃ０」ノードはレベル−１である年齢レコード、レベル−０である郵便番号レコードおよびレベル−０である性別レコードを指示することができる。「ａ１、ｂ１、ｃ０」ノードはレベル−１である年齢レコード、レベル−１である郵便番号レコードおよびレベル−０である性別レコードを指示することができる。

非識別化装置１００は遺伝アルゴリズム（ｇｅｎｅｔｉｃ ａｌｇｏｒｉｔｈｍ）を使用して原始ラティス内で最終ラティスを設定することができる（Ｓ２６０）。最終ラティスの設定方法は次の通りである。

図１３は、最終ラティスの設定方法を図示したフローチャートである。

図１３を参照すると、非識別化装置１００は図１２に図示された原始ラティスのうち、最下位階層から２／３地点に該当する階層−４に属するノードのうち任意のノードを選択ノードＡと設定することができ、最下位階層から１／３地点に該当する階層−２に属するノードのうち任意のノードを選択ノードＢと設定することができる（Ｓ２６１）。選択ノードＡは選択ノードＢと連結され得る。例えば、非識別化装置１００は階層−４に属する「ａ２、ｂ２、ｃ０」ノードを選択ノードＡと設定することができ、階層−２に属する「ａ１、ｂ１、ｃ０」ノードを選択ノードＢと設定することができる。

非識別化装置１００は選択ノードＡおよび選択ノードＢのそれぞれに対応するテーブルに対する非識別化を遂行できる（Ｓ２６２）。非識別化装置１００は前述した段階Ｓ２３０で設定された非識別化パラメーター（例えば、Ｋ−匿名性、Ｌ−多様性、Ｔ−近接性）を満足する非識別化されたテーブルを生成することができる。選択ノードＡに対応するテーブルに対する非識別化結果は「非識別化されたテーブルＡ」と呼ばれ得、選択ノードＢに対応するテーブルに対する非識別化結果は「非識別化されたテーブルＢ」と呼ばれ得る。

非識別化装置１００は非識別化されたテーブルＡおよび非識別化されたテーブルＢのそれぞれの抑制値比率がすべて抑制臨界値以下であるかの可否を判断することができる（Ｓ２６３）。非識別化されたテーブルＡおよび非識別化されたテーブルＢのそれぞれの抑制値比率がすべて抑制臨界値以下である場合（以下、「ケース１」という）、非識別化装置１００は次の通り最終ラティスを設定することができる。

ケース１．最終ラティス設定方法
非識別化装置１００は、原始ラティスで選択ノードＢが属した階層−２と最下位階層（すなわち、階層−０）の間の１／２地点に該当する階層−１に属するノードのうち任意のノードを交差ノードと設定することができ、階層−２に属するノードのうち選択ノードＢを除いた任意のノードを変移ノードと設定することができる（Ｓ２６３−１）。例えば、非識別化装置１００は階層−１に属する「ａ０、ｂ１、ｃ０」ノードを交差ノードと設定することができ、階層−２に属する「ａ０、ｂ２、ｃ０」ノードを変移ノードと設定することができる。

非識別化装置１００は交差ノードおよび変移ノードのそれぞれに対応するテーブルに対する非識別化を遂行できる（Ｓ２６６）。すなわち、非識別化されたテーブルＢの抑制値比率が抑制臨界値以下であるため、選択ノードＢより上位階層に属するノードに対応するテーブルに対する非識別化は遂行されなくてもよい。非識別化装置１００は前述した段階Ｓ２３０で設定された非識別化パラメーター（例えば、Ｋ−匿名性、Ｌ−多様性、Ｔ−近接性）を満足する非識別化されたテーブルを生成することができる。

また、非識別化装置１００は段階Ｓ２６６によって生成された非識別化されたテーブルの抑制値比率が抑制臨界値以下であるかを判断することができる。非識別化装置１００は「抑制値比率≦抑制臨界値」を満足するノード（例えば、選択ノードＢ、交差ノード、変移ノード）の個数をカウント（ｃｏｕｎｔｉｎｇ）することができる。

段階Ｓ２６１〜段階Ｓ２６６は、「抑制値比率≦抑制臨界値」を満足するノード（例えば、選択ノードＢ、交差ノード、変移ノード）の個数が、原始ラティスを構成する階層のうち最も多いノードを含む階層のノード個数（例えば、図１４で６個）のｘ倍より大きい時まで繰り返して遂行され得る。ここで、ｘは０より大きい実数であり得る。例えば、ｘは０．８、１または１．２と設定され得る。ｘは前述した内容に限定されず、多様に設定され得る。

例えば、選択ノードＢが属した階層−２と最下位階層（すなわち、階層−０）の間の２／３地点に該当する階層に属した任意のノードが選択ノードＡ’と設定され得る。また、選択ノードＢが属した階層−２と最下位階層（すなわち、階層−０）の間の１／３地点に該当する階層に属した任意のノードが選択ノードＢ’と設定され得る。選択ノードＡ’および選択ノードＢ’に基づいて段階Ｓ２６２〜段階Ｓ２６６が再び遂行され得る。このような過程は「抑制値比率≦抑制臨界値」を満足するノードの個数が、原始ラティスを構成する階層のうち最も多いノードを含む階層のノード個数のｘ倍より大きい時まで繰り返して遂行され得る。

非識別化装置１００は「抑制値比率≦抑制臨界値」を満足するノード（例えば、選択ノードＢ、交差ノード、変移ノードなど）を含む最終ラティスを設定することができる（Ｓ２６７）。

一方、ケース１に該当しない場合、非識別化装置１００は非識別化されたテーブルＡの抑制値比率が抑制臨界値以下であり、非識別化されたテーブルＢの抑制値比率が抑制臨界値を超過するかの可否を判断することができる（Ｓ２６４）。非識別化されたテーブルＡの抑制値比率が抑制臨界値以下であり、非識別化されたテーブルＢの抑制値比率が抑制臨界値を超過する場合（以下、「ケース２」という）、非識別化装置１００は次の通り最終ラティスを選択することができる。

ケース２．最終ラティス設定方法
非識別化装置１００は、原始ラティスで選択ノードＡが属した階層−４と選択ノードＢが属した階層−２の間の１／２地点に該当する階層−３に属するノードのうち任意のノードを交差ノードと設定することができ、階層−４に属するノードのうち選択ノードＡを除いた任意のノードを変移ノードと設定することができる（Ｓ２６４−１）。例えば、非識別化装置１００は階層−３に属する「ａ１、ｂ１、ｃ１」ノードを交差ノードと設定することができ、階層−４に属する「ａ２、ｂ１、ｃ１」ノードを変移ノードと設定することができる。

非識別化装置１００は交差ノードおよび変移ノードのそれぞれに対応するテーブルに対する非識別化を遂行できる（Ｓ２６６）。すなわち、非識別化されたテーブルＢの抑制値比率が抑制臨界値を超過するので、選択ノードＢより下位階層に属するノードに対する非識別化は遂行されなくてもよい。非識別化装置１００は前述した段階Ｓ２３０で設定された非識別化パラメーター（例えば、Ｋ−匿名性、Ｌ−多様性、Ｔ−近接性）を満足する非識別化されたテーブルを生成することができる。

また、非識別化装置１００は段階Ｓ２６６によって生成された非識別化されたテーブルの抑制値比率が抑制臨界値以下であるかを判断することができる。非識別化装置１００は「抑制値比率≦抑制臨界値」を満足するノード（例えば、選択ノードＡ、交差ノード、変移ノード）の個数をカウントすることができる。

段階Ｓ２６１〜段階Ｓ２６６は、「抑制値比率≦抑制臨界値」を満足するノード（例えば、選択ノードＡ、交差ノード、変移ノード）の個数が、原始ラティスを構成する階層のうち最も多いノードを含む階層のノード個数（例えば、図１４で６個）のｘ倍より大きい時まで繰り返して遂行され得る。ここで、ｘは０より大きい実数であり得る。例えば、ｘは０．８、１または１．２と設定され得る。ｘは前述した内容に限定されず、多様に設定され得る。

例えば、選択ノードＡが属した階層−４と選択ノードＢが属した階層−２の間の２／３地点に該当する階層に属した任意のノードが選択ノードＡ’と設定され得る。また、選択ノードＡが属した階層−４と選択ノードＢが属した階層−２の間の１／３地点に該当する階層に属した任意のノードが選択ノードＢ’と設定され得る。選択ノードＡ’および選択ノードＢ’に基づいて段階Ｓ２６２〜段階Ｓ２６６が再び遂行され得る。このような過程は「抑制値比率≦抑制臨界値」を満足するノードの個数が、原始ラティスを構成する階層のうち最も多いノードを含む階層のノード個数のｘ倍より大きい時まで繰り返して遂行され得る。

非識別化装置１００は「抑制値比率≦抑制臨界値」を満足するノード（例えば、選択ノードＡ、交差ノード、変移ノード）を含む最終ラティスを設定することができる（Ｓ２６７）。

一方、ケース１および２に該当しない場合、非識別化装置１００は非識別化されたテーブルＡおよび非識別化されたテーブルＢのそれぞれの抑制値比率がすべて抑制臨界値を超過するかの可否を判断することができる（Ｓ２６５）。非識別化されたテーブルＡおよび非識別化されたテーブルＢのそれぞれの抑制値比率がすべて抑制臨界値を超過する場合（以下、「ケース３」という）、非識別化装置１００は次の通り最終ラティスを選択することができる。

ケース３．最終ラティス設定方法
非識別化装置１００は原始ラティスで選択ノードＡが属した階層−４と最上位階層（すなわち、階層−６）の間の１／２地点に該当する階層−５に属するノードのうち任意のノードを交差ノードと設定することができ、階層−４に属するノードのうち選択ノードＡを除いた任意のノードを変移ノードと設定することができる（Ｓ２６５−１）。例えば、非識別化装置１００は階層−５に属する「ａ３、ｂ１、ｃ１」ノードを交差ノードと設定することができ、階層−４に属する「ａ２、ｂ１、ｃ１」ノードを変移ノードと設定することができる。

非識別化装置１００は交差ノードおよび変移ノードのそれぞれに対応するテーブルに対する非識別化を遂行できる（Ｓ２６６）。非識別化装置１００は前述した段階Ｓ２３０で設定された非識別化パラメーター（例えば、Ｋ−匿名性、Ｌ−多様性、Ｔ−近接性）を満足する非識別化されたテーブルを生成することができる。

また、非識別化装置１００は段階Ｓ２６６によって生成された非識別化されたテーブルの抑制値比率が抑制臨界値以下であるかを判断することができる。非識別化装置１００は「抑制値比率≦抑制臨界値」を満足するノード（例えば、交差ノード、変移ノード）の個数をカウントすることができる。

段階Ｓ２６１〜段階Ｓ２６６は、「抑制値比率≦抑制臨界値」を満足するノード（例えば、交差ノード、変移ノード）の個数が、原始ラティスを構成する階層のうち最も多いノードを含む階層のノード個数（例えば、図１４で６個）のｘ倍より大きい時まで繰り返して遂行され得る。ここで、ｘは０より大きい実数であり得る。例えば、ｘは０．８、１または１．２と設定され得る。ｘは前述した内容に限定されず、多様に設定され得る。

例えば、選択ノードＡが属した階層−４と最上位階層（すなわち、階層−６）の間の２／３地点に該当する階層に属した任意のノードが選択ノードＡ’と設定され得る。また、選択ノードＡが属した階層−４と最上位階層（すなわち、階層−６）の間の１／３地点に該当する階層に属した任意のノードが選択ノードＢ’と設定され得る。選択ノードＡ’および選択ノードＢ’に基づいて段階Ｓ２６２〜段階Ｓ２６６が再び遂行され得る。このような過程は「抑制値比率≦抑制臨界値」を満足するノードの個数が、原始ラティスを構成する階層のうち最も多いノードを含む階層のノード個数のｘ倍より大きい時まで繰り返して遂行され得る。

非識別化装置１００は「抑制値比率≦抑制臨界値」を満足するノード（例えば、交差ノード、変移ノード）を含む最終ラティスを設定することができる（Ｓ２６７）。

また、非識別化装置１００は出力インタフェース装置１５０を通じて最終ラティスをディスプレイすることができ、保存装置１６０（またはデータベース）に最終ラティスを保存することができ、ネットワークインタフェース装置１３０を通じて他の装置に最終ラティスを伝送することができる。

再び図２を参照すると、非識別化装置１００は非識別化されたテーブルに含まれたＩＤレコードに記録された原始データの全体領域または一部領域に対してマスキング処理ができる（Ｓ２７０）。例えば、ＩＤレコードに記録された原始データのうちマスキング処理される領域（例えば、一部領域）があらかじめ設定された場合、あらかじめ設定された領域に対するマスキング処理が遂行され得る。ＩＤレコードに記録された原始データのうちマスキング処理される領域があらかじめ設定されていない場合、全体領域に対するマスキング処理が遂行され得る。段階Ｓ２７０は個人情報非識別化方法で必須の段階ではなく、必要に応じて省略され得る。マスキング処理されたレコードを含むテーブルの一実施例は次の通りである。

図１４は、マスキング処理されたレコードを含むテーブルの一実施例を図示した概念図である。

図１４を参照すると、テーブル４００に含まれた住民番号レコードに記録された原始データのうち一部領域はマスキング処理され得る。例えば、住民番号レコードに記録された原始データのうち「−」以後の領域はマスキング処理され得る。テーブル４００に含まれた名前レコードに記録された原始データのうち全体領域はマスキング処理され得る。テーブル４００に含まれた住所レコードに記録された原始データのうち一部領域はマスキング処理され得る。例えば、住所レコードに記録された原始データのうち「ソウル市」以降の領域はマスキング処理され得る。

次いで、非識別化されたテーブルの危険性を指示するパラメーターを説明する。

再識別化危険性（ｒｅ−ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｒｉｓｋ）は、非識別化されたテーブルの同等クラスを構成するロー個数の逆数によって指示され得る。再識別化危険性は同等クラスを構成するローの最大個数、最小個数、平均個数により変わり得る。

サンプル（ｓａｍｐｌｅ）危険性は下記の数式（２）に基づいて計算され得る。

次いで、非識別化されたテーブルの使用性を指示するパラメーターを説明する。

正確性（ｐｒｅｃｉｓｉｏｎ）はラティスに属するそれぞれのノードに対する正確性を測定するために使用され得、ＧＨモデルの平均高さを指示することができる。ＧＨモデルで一般化レベルが高いほど正確性は低くなり得、データの損失は増加し得る。正確性は下記の数式（３）に基づいて計算され得る。

Ｐｒｅｃ（ＧＴ）は一般化テーブル（ｇｅｎｅｒａｌｉｚａｔｉｏｎ ｔａｂｌｅ；ＧＴ）（すなわち、非識別化されたテーブル）に対する正確性を指示することができる。Ｎ_Ａはテーブルに属する変数（例えば、図１２で郵便番号、年齢、国籍、性別、病気）の個数を指示することができる。Ｎはテーブルを構成するローの個数を指示することができる。

はＧＨモデルで該当変数の一般化レベルを指示することができる。

はＧＨモデルで該当変数の一般化レベルの最大値を指示することができる。

分別力メトリック（ｄｉｓｃｅｒｎａｂｉｌｉｔｙ ｍｅｔｒｉｃ）は、同等クラスの大きさ、ＧＨモデルで一般化レベルなどを考慮するパラメーターであり得る。分別力メトリックは同等クラス内の一般化されたデータを区別する能力を指示することができる。分別力メトリックは下記の数式（４）に基づいて計算され得る。

ＤＭは分別力メトリックを指示することができる。ｆ_ｉは同等クラスの大きさを指示することができる。ｋは同等クラスの個数を指示することができる。Ｎはロー（例えば、テーブルを構成するロー）の個数を指示することができる。

エントロピー（ｅｎｔｒｏｐｙ）は同等クラス内の一般化されたデータの区別能力または情報量を指示することができる。エントロピーは下記の数式（５）に基づいて計算され得る。

はエントロピーを指示することができる。α_ｒは原始データを指示することができる。ｂ_ｒは一般化されたデータを指示することができる。Ｒ_ｉｊは原始データが記録されたレコードを指示することができる。Ｒ_ｉｊ’は一般化されたデータが記録されたレコードを指示することができる。Ｉは指示者関数（ｉｎｄｉｃａｔｏｒ ｆｕｎｃｔｉｏｎ）を指示することができる。

一方、非識別化装置１００は最終ラティスに属するノードに対する危険性パラメーター（例えば、再識別化危険性、サンプル危険性、集団危険性など）、使用性パラメーター（例えば、正確性、分別力メトリック、エントロピーなど）を出力インタフェース装置１５０を通じてディスプレイすることができる。また、非識別化装置１００は、最終ラティスに属するノードに対応するテーブルの非識別化以前と以後（すなわち、原始テーブルと非識別されたテーブルの比較結果）を出力インタフェース装置１５０を通じてディスプレイすることができる。

本発明に係る方法は、多様なコンピュータ手段を通じて遂行され得るプログラム命令形態で具現されて、コンピュータ読み出し可能媒体に記録され得る。コンピュータ読み出し可能媒体は、プログラム命令、データファイル、データ構造などを単独または組み合わせて含むことができる。コンピュータ読み出し可能媒体に記録されるプログラム命令は、本発明のために特別に設計されて構成されたものであるかコンピュータソフトウェア当業者に公知とされて使用可能なものであり得る。

コンピュータ読み出し可能媒体の例には、ロム（ｒｏｍ）、ラム（ｒａｍ）、フラッシュメモリ（ｆｌａｓｈ ｍｅｍｏｒｙ）等のようにプログラム命令を保存し遂行するように特別に構成されたハードウェア装置が含まれる。プログラム命令の例には、コンパイラ（ｃｏｍｐｉｌｅｒ）により作られるような機械語コードだけでなく、インタープリタ（ｉｎｔｅｒｐｒｅｔｅｒ）等を使用してコンピュータによって遂行され得る高級言語コードを含む。前述したハードウェア装置は本発明の動作を遂行するために、少なくとも一つのソフトウェアモジュールで作動するように構成され得、その逆も同じである。

以上、実施例を参照して説明したが、該当技術分野の熟練した当業者は下記の特許請求の範囲に記載された本発明の思想および領域から逸脱しない範囲内で本発明を多様に修正および変更できることが理解できるはずである。

Claims (16)

1. 個人情報非識別化装置によって実行される個人情報非識別化方法であって、
   データベースから個人情報を指示する原始データが記録されたレコードを含む原始テーブルを獲得する段階；
   前記原始テーブルに含まれるそれぞれのレコードの属性を設定する段階；
   一般化レベルに基づいて前記原始テーブルに含まれるそれぞれのレコードに記録された原始データを一般化することによって、一般化されたデータを生成する段階；
   前記原始データおよび前記一般化されたデータで構成される一般化階層モデルを設定する段階；
   前記一般化階層モデルによって指示される階層構造に基づいて、個人情報の種類別の一般化レベルを指示するテーブルを指示する複数の候補ノードを含む原始ラティスを生成する段階；および
   前記原始ラティスに含まれる前記複数の候補ノードのうちあらかじめ設定された基準を満足する少なくとも一つの候補ノードを含む最終ラティスを設定する段階；
   を含み、
   前記属性は、ＩＤ、ＱＩ、ＳＡおよびＩＡに分類され、
   特定個人が明示的に識別される個人情報を指示する原始データが記録されたレコードはＩＤに設定され、
   特定個人が暗黙的に識別される個人情報を指示する原始データが記録されたレコードはＱＩに設定され、
   あらかじめ設定された基準以上の敏感度を有する個人情報を指示する原始データが記録されたレコードはＳＡに設定され、
   ＳＡより低い敏感度を有する個人情報を指示する原始データが記録されたレコードはＩＡに設定される、
   個人情報非識別化方法。
2. 当該個人情報非識別化方法は、
   前記原始テーブルに含まれるレコードのうち前記属性がＩＤに設定されたレコードをマスキング処理する段階をさらに含む、請求項１に記載の個人情報非識別化方法。
3. 当該個人情報非識別化方法は、
   前記原始テーブルに含まれるレコードのうち前記属性がＱＩに設定されたレコードに記録された原始データによって指示される個人情報の種類によって前記一般化レベルを設定する段階をさらに含む、請求項１に記載の個人情報非識別化方法。
4. 前記原始テーブルに含まれるレコードのうち前記属性がＱＩに設定されたレコードに記録された原始データは、一般化レベルに基づいて一般化される、請求項１に記載の個人情報非識別化方法。
5. 前記最終ラティスを設定する段階は、
   前記原始ラティスに含まれる前記複数の候補ノードのうち少なくとも一つの候補ノードを選択する段階；
   前記少なくとも一つの候補ノードによって指示される一般化レベルに基づいて前記原始テーブルに対する非識別化を遂行することによって非識別化されたテーブルを生成する段階；
   あらかじめ設定された抑制基準を満足する非識別化されたテーブルに対応する候補ノードを最終ノードに設定する段階；および
   前記あらかじめ設定された基準を満足する候補ノードに対応する前記最終ノードを含む前記最終ラティスを設定する段階を含む、請求項１に記載の個人情報非識別化方法。
6. 前記非識別化されたテーブルは、Ｋ−匿名性に基づいて生成されるか、前記Ｋ−匿名性およびＬ−多様性に基づいて生成されるか、または前記Ｋ−匿名性およびＴ−近接性に基づいて生成される、請求項５に記載の個人情報非識別化方法。
7. 前記あらかじめ設定された抑制基準は、前記非識別化されたテーブルを構成する同等クラスのうち前記あらかじめ設定されたＫ−匿名性を満足しない同等クラスの比率を指示する、請求項６に記載の個人情報非識別化方法。
8. 当該個人情報非識別化方法は、
   前記最終ラティスに含まれる少なくとも一つの最終ノードに対応する非識別化されたテーブルの再識別化危険性および有用性を計算する段階をさらに含む、請求項１に記載の個人情報非識別化方法。
9. 個人情報非識別化装置であって、
   プロセッサ；および
   前記プロセッサを通じて実行される少なくとも一つの命令が保存されたメモリを含み、
   前記少なくとも一つの命令は、
   データベースから個人情報を指示する原始データが記録されたレコードを含む原始テーブルを獲得し；
   前記原始テーブルに含まれるそれぞれのレコードの属性を設定し；
   一般化レベルに基づいて前記原始テーブルに含まれるそれぞれのレコードに記録された原始データを一般化することによって一般化されたデータを生成し；
   前記原始データおよび前記一般化されたデータで構成される一般化階層モデルを設定し；
   前記一般化階層モデルによって指示される階層構造に基づいて、個人情報の種類別の一般化レベルを指示するテーブルを指示する複数の候補ノードを含む原始ラティスを生成し；
   前記原始ラティスに含まれる前記複数の候補ノードのうちあらかじめ設定された基準を満足する少なくとも一つの候補ノードを含む最終ラティスを設定するように実行可能であり、
   前記属性は、ＩＤ、ＱＩ、ＳＡおよびＩＡに分類され、
   特定個人が明示的に識別される個人情報を指示する原始データが記録されたレコードはＩＤに設定され、
   特定個人が暗黙的に識別される個人情報を指示する原始データが記録されたレコードはＱＩに設定され、
   あらかじめ設定された基準以上の敏感度を有する個人情報を指示する原始データが記録されたレコードはＳＡに設定され、
   ＳＡより低い敏感度を有する個人情報を指示する原始データが記録されたレコードはＩＡに設定される、
   個人情報非識別化装置。
10. 前記少なくとも一つの命令は、
    前記原始テーブルに含まれるレコードのうち前記属性がＩＤに設定されたレコードをマスキング処理するようにさらに実行可能である、請求項９に記載の個人情報非識別化装置。
11. 前記少なくとも一つの命令は、
    前記原始テーブルに含まれるレコードのうち前記属性がＱＩに設定されたレコードに記録された原始データによって指示される個人情報の種類によって前記一般化レベルを設定するようにさらに実行可能である、請求項９に記載の個人情報非識別化装置。
12. 前記原始テーブルに含まれるレコードのうち前記属性がＱＩに設定されたレコードに記録された原始データは、一般化レベルに基づいて一般化される、請求項９に記載の個人情報非識別化装置。
13. 前記少なくとも一つの命令は、前記最終ラティスを設定する場合、
    前記原始ラティスに含まれる複数の候補ノードのうち少なくとも一つの候補ノードを選択し；
    前記少なくとも一つの候補ノードによって指示される一般化レベルに基づいて前記原始テーブルに対する非識別化を遂行することによって非識別化されたテーブルを生成し；
    あらかじめ設定された抑制基準を満足する非識別化されたテーブルに対応する候補ノードを最終ノードに設定し；
    前記あらかじめ設定された基準を満足する候補ノードに対応する前記最終ノードを含む前記最終ラティスを設定するように実行可能である、請求項９に記載の個人情報非識別化装置。
14. 前記非識別化されたテーブルは、Ｋ−匿名性に基づいて生成されるか、前記Ｋ−匿名性およびＬ−多様性に基づいて生成されるか、または前記Ｋ−匿名性およびＴ−近接性に基づいて生成される、請求項１３に記載の個人情報非識別化装置。
15. 前記あらかじめ設定された抑制基準は、前記非識別化されたテーブルを構成する同等クラスのうち前記あらかじめ設定されたＫ−匿名性を満足しない同等クラスの比率を指示する、請求項１４に記載の個人情報非識別化装置。
16. 前記少なくとも一つの命令は、
    前記最終ラティスに含まれる少なくとも一つの最終ノードに対応する非識別化されたテーブルの再識別化危険性および有用性を計算するようにさらに実行可能である、請求項９に記載の個人情報非識別化装置。

Images