JP6914975B2 - 情報処理システム、情報処理装置、情報処理方法およびプログラム - Google Patents

Description

本発明の実施形態は、情報処理システム、情報処理装置、情報処理方法およびプログラムに関する。

近年、機械学習により生成された学習モデルや数値モデルを用いたデータ分析が様々な分野で広く行われている。データ分析に用いるモデルは、適切なパラメータのチューニングなどに高度な専門性が要求されるため、その生成を第３者に委託することがある。この場合、モデルの生成を委託する側が、第３者が生成するモデルの有効性を評価するために、そのモデルを用いて実際に分析したいデータと同種のデータを第３者に提供し、その分析結果を受け取るといったケースが想定される。このとき、モデルを用いて実際に分析したいデータが例えば製造データなどの機密性のあるデータであれば、そのデータの機微な部分を秘匿した状態で第３者に提供することが求められる。

しかし、モデルを用いて分析するデータが秘匿化された状態であると、そのデータの分析を適切に行えない場合がある。例えば、レコードとして蓄積される製造データなどの機密性のあるデータの集合（レコード集合の一例）を秘匿化して第３者に提供した場合、第３者側では、秘匿化されたレコード集合に含まれる個々のレコードを区別できずに、モデルを用いた分析を適切に行えない。

米国特許出願公開第２０１６／００８５９８２号明細書

本発明が解決しようとする課題は、秘匿化されたレコード集合に含まれる各レコードに対してモデルを用いた分析を適切に行うことができる情報処理システム、情報処理装置、情報処理方法およびプログラムを提供することである。

実施形態の情報処理システムは、第１情報処理装置と第２情報処理装置とを含む。第１情報処理装置は、レコード集合取得部と、レコード特定情報取得部と、秘匿化部と、第１送信部と、を備える。レコード集合取得部は、属性名と属性値のセットであるデータ要素を複数持つレコードの集合であるレコード集合を取得する。レコード特定情報取得部は、前記レコード集合に含まれる各レコードを一意に特定するための情報であって、少なくとも１つの前記属性名を示すレコード特定情報を取得する。秘匿化部は、前記レコード集合に含まれる少なくとも１つのレコードが持つ複数のデータ要素のうち、変換情報により指定されたデータ要素の属性名と属性値の少なくとも一方を前記変換情報に従って変換することにより秘匿化レコード集合を生成するとともに、前記レコード特定情報と前記変換情報とに基づいて、前記秘匿化レコード集合に含まれる各レコードを一意に特定するための秘匿化レコード特定情報を生成する。第１送信部は、前記秘匿化レコード集合と前記秘匿化レコード特定情報とを前記第２情報処理装置に送信する。第２情報処理装置は、第２受信部と、データ分析部と、を備える。第２受信部は、前記秘匿化レコード集合と前記秘匿化レコード特定情報とを前記第１情報処理装置から受信する。データ分析部は、前記秘匿化レコード集合に含まれる各レコードであって、前記秘匿化レコード特定情報に基づいて特定される各レコードに対し、学習モデルまたは数値モデルを用いた分析を行う。

情報処理システムの概略構成を示す図。 第１実施形態に係る情報処理システムの機能的な構成例を示すブロック図。 レコード集合の一例を示す図。 レコード特定情報の一例を示す図。 変換情報の一例を示す図。 秘匿化レコード集合の一例を示す図。 秘匿化レコード特定情報の一例を示す図。 分析結果の一例を示す図。 秘匿化解除分析結果の一例を示す図。 第１実施形態に係る情報処理システムの処理手順の一例を示すシーケンス図。 第２実施形態に係る情報処理システムの機能的な構成例を示すブロック図。 変換設定情報の一例を示す図。 変換情報管理部に保存される変換情報の一例を示す図。 ＩＤ対応表の一例を示す図。 第２実施形態に係る情報処理システムの処理手順の一例を示すシーケンス図。 変換情報の一例を示す図。 秘匿化レコード集合の一例を示す図。 秘匿化レコード特定情報の一例を示す図。 変換設定情報の一例を示す図。 変換情報の一例を示す図。 秘匿化レコード集合の一例を示す図。 秘匿化レコード特定情報の一例を示す図。 レコード集合の一例を示す図。 変換情報の一例を示す図。 第１情報処理装置および第２情報処理装置のハードウェア構成例を示すブロック図。

以下、添付図面を参照しながら、実施形態に係る情報処理システム、情報処理装置、情報処理方法およびプログラムについて詳細に説明する。

＜第１実施形態＞
実施形態に係る情報処理システム１の概略構成を図１に示す。この情報処理システム１は、図１に示すように、第１情報処理装置１０と第２情報処理装置２０とが、インターネットなどのネットワーク３０を介して接続された構成である。第１情報処理装置１０はデータ提供者が使用する情報処理装置であり、第２情報処理装置２０はデータ利用者が使用する情報処理装置である。

データ提供者は、データ利用者が生成したモデルの有効性を評価するために、そのモデルで分析したいデータをデータ利用者に提供する。データ利用者は、モデルを用いてデータ提供者から提供されたデータを分析し、分析結果をデータ提供者に返す。データ提供者は、データ利用者から受け取った分析結果を確認することにより、モデルの有効性を評価することができる。

本実施形態では、データ提供者からデータ利用者へと提供されるデータが、例えば製造データなどの機密性のあるデータであり、特にレコードとして蓄積されたデータの集合（レコード集合）であるものとする。この場合、レコード集合は秘匿化された状態でデータ利用者に提供され、秘匿化された状態でモデルによる分析を行う必要がある。このとき、秘匿化によってレコード集合に含まれるレコードが区別できない状態であると、モデルを用いた分析を適切に行うことができない。本実施形態の情報処理システム１は、こうした課題を解決し、秘匿化されたレコード集合に含まれる各レコードに対してモデルを用いた分析を適切に行うことができるように構成される。

図２は、第１実施形態に係る情報処理システム１の機能的な構成例を示すブロック図である。第１情報処理装置１０は、図２に示すように、レコード集合取得部１１と、レコード特定情報取得部１２と、変換情報取得部１３と、秘匿化部１４と、第１送信部１５と、第１受信部１６と、秘匿化解除部１７と、出力部１８とを備える。第２情報処理装置２０は、図２に示すように、第２受信部２１と、データ分析部２２と、第２送信部２３とを備える。

レコード集合取得部１１は、レコード集合を取得する。レコード集合は、属性名と属性値のセットであるデータ要素を複数もつレコードの集合である。レコード集合に含まれる各レコードは、属性名が共通するデータ要素である共通データ要素を持つ。そして、共通データ要素のうちの少なくとも１つの属性値に基づいて、各レコードを一意に特定可能である。

レコード集合の一例を図３に示す。図３に示すレコード集合４０は、５つのレコードを含むテーブル形式のレコード集合の例である。このレコード集合４０に含まれる各レコードのデータ要素を（属性名／属性値）で表すとすると、例えば、１行目のレコードは、データ要素として（Ｃｏｌ０／Ａ）、（Ｃｏｌ１／ａａ）、（Ｃｏｌ２／１００）、（Ｃｏｌ３／５０）、（Ｃｏｌ４／Ｐ０）を持つ。また、２行目のレコードは、データ要素として（Ｃｏｌ０／Ａ）、（Ｃｏｌ１／ａｂ）、（Ｃｏｌ２／０）、（Ｃｏｌ３／２０）、（Ｃｏｌ４／Ｐ１）を持つ。

図３に示すレコード集合４０では、各レコードのデータ要素がすべて共通データ要素となっている。このうち、属性名Ｃｏｌ０の共通データ要素の属性値と属性名Ｃｏｌ１の共通データ要素の属性値との組み合わせにより、レコード集合４０に含まれる各レコードを一意に特定可能となっている。なお、ここではテーブル形式のレコード集合４０を例示したが、レコード集合４０は上記の条件を満たすレコードの集合であればよく、図３に示すようなテーブル形式のものに限らない。

レコード特定情報取得部１２は、レコード特定情報を取得する。レコード特定情報は、レコード集合４０に含まれる各レコードを特定するための情報であって、少なくとも１つの共通データ要素の属性名を示す情報である。

レコード特定情報の一例を図４に示す。図４に示すレコード特定情報４５は、図３に示したレコード集合４０に対応するレコード特定情報の例であり、属性値の組み合わせによって各レコードを特定可能な２つの共通データ要素の属性名Ｃｏｌ０，Ｃｏｌ１を示している。

変換情報取得部１３は、変換情報を取得する。変換情報は、レコード集合４０に含まれる各レコードのデータ要素のうち、変換の対象となるデータ要素と変換の方法を指定する情報である。

変換情報の一例を図５に示す。図５に示す変換情報５０は、図３に示したレコード集合４０に適用される変換情報の例であり、第１属性値変換表５１と、第２属性値変換表５２と、属性名変換表５３とを含む。第１属性値変換表５１は、文字列で表される属性値を他の文字列に変換するために用いられる変換表であり、変換の対象となるデータ要素の属性名と変換前後の文字列を規定している。第２属性値変換表５２は、数値で表される属性値を統計的な情報を維持しながら変換するために用いられる変換表であり、変換の対象となるデータ要素の属性名と属性値に適用される変換のルールとを規定している。属性名変換表５３は、属性名を変換するために用いられる変換表であり、変換の対象となるデータ要素の属性名と変換後の文字列を規定している。

なお、図５に示す変換情報５０は、属性値を変換するための第１属性値変換表５１や第２属性値変換表５２と、属性名を変換するための属性名変換表５３とを含んでいるが、属性値を変換するための第１属性値変換表５１や第２属性値変換表５２と、属性名を変換するための属性名変換表５３とのいずれか一方を持つ構成であってもよい。当然のことながら、属性値を変換するための第１属性値変換表５１や第２属性値変換表５２のみを持つ変換情報５０をレコード集合４０に適用した場合は、レコード集合４０に含まれる各レコードの属性値のみが変換され、属性名を変換するための属性名変換表５３のみを持つ変換情報５０をレコード集合４０に適用した場合は、レコード集合４０に含まれる各レコードの属性名のみが変換されることになる。変換情報５０で指定される変換の対象となるデータ要素の属性名あるいは属性値は、レコード集合４０に含まれる各レコードのデータ要素の機密度に応じて選ばれる。

秘匿化部１４は、レコード集合取得部１１が取得したレコード集合４０に対し、変換情報取得部１３が取得した変換情報５０を適用し、レコード集合４０に含まれる各レコードが持つ複数のデータ要素のうち、変換情報５０により指定されたデータ要素の属性名と属性値の少なくとも一方を変換情報５０に従って変換することにより、秘匿化レコード集合を生成する。

秘匿化レコード集合の一例を図６に示す。図６に示す秘匿化レコード集合６０は、図３に示したレコード集合４０に対して図５に示した変換情報５０を適用することで生成された秘匿化レコード集合の例である。これらの図から、図３に示したレコード集合４０に含まれる各レコードが持つ複数のデータ要素のうち、図５に示した変換情報５０により指定されたデータ要素の属性名と属性値が変換情報５０に従って変換されたことで、図６に示す秘匿化レコード集合６０が生成されたことが分かる。図３に示したレコード集合４０に含まれる各レコードのデータ要素のうち、属性名Ｃｏｌ４のデータ要素は、その属性名も属性値も図５に示した変換情報５０において変換の対象として指定されていないため、変換されていない。このように、秘匿化レコード集合６０に含まれる各レコードは、変換されていないデータ要素、つまり、レコード集合４０に含まれる各レコードと同じ値を持つデータ要素を含んでいてもよい。

また、秘匿化部１４は、レコード特定情報取得部１２が取得したレコード特定情報４５と、変換情報取得部１３が取得した変換情報５０とに基づいて、秘匿化レコード集合６０に含まれる各レコードを特定するための秘匿化レコード特定情報を生成する。すなわち、レコード特定情報４５で示される共通データ要素の属性名が変換情報５０において変換の対象となっている場合、つまり、レコード特定情報４５で示される共通データ要素の属性名が属性名変換表５３に含まれている場合、秘匿化部１４は、その属性名を属性名変換表５３に従って変換することにより、秘匿化レコード特定情報を生成する。一方、レコード特定情報４５で示される共通データ要素の属性名が変換情報５０において変換の対象とされていない場合、秘匿化部１４は、レコード特定情報取得部１２が取得したレコード特定情報４５をそのままコピーして、秘匿化レコード特定情報とする。

秘匿化レコード特定情報の一例を図７に示す。図７に示す秘匿化レコード特定情報６５は、図４に示したレコード特定情報４５と図５に示した変換情報５０とに基づいて生成された秘匿化レコード特定情報６５の例である。図４に示したレコード特定情報４５で示される２つの属性名Ｃｏｌ０，ｃｏｌ１は、図５に示した変換情報５０において変換の対象とされているため、この変換情報５０の属性名変換表５３に従って２つの属性名Ｃｏｌ０，ｃｏｌ１をＡＡＡ，ＢＢＢに変換することにより、図７に示す秘匿化レコード特定情報６５が生成される。

第１送信部１５は、秘匿化部１４が生成した秘匿化レコード集合６０と秘匿化レコード特定情報６５とを、ネットワーク３０を介して第２情報処理装置２０に送信する。

第２情報処理装置２０の第２受信部２１は、第１情報処理装置１０の第１送信部１５が送信した秘匿化レコード集合６０と秘匿化レコード特定情報６５とを、ネットワーク３０を介して受信する。

データ分析部２２は、第２受信部２１が受信した秘匿化レコード集合６０に含まれる各レコードであって、第２受信部２１が受信した秘匿化レコード特定情報６５に基づいて特定される各レコードに対し、モデル２５を用いた分析を行う。本実施形態では、データ分析部２２が分析に用いるモデル２５は、上述のようにデータ提供者の依頼に応じてデータ利用者側で生成されたモデルであることを想定する。このモデル２５は、例えば、ディープラーニングなどの学習によって生成されたＤＮＮ（Deep Neural Network）などの学習モデルであってもよいし、回帰分析のような数値アルゴリズムに基づいた処理を行うための数値モデルであってもよい。

例えば、図６に例示した秘匿化レコード集合６０に含まれる各レコードに対する分析を行う場合、データ分析部２２は、まず、図７に示す秘匿化レコード特定情報６５に基づいて個々のレコードを特定する。すなわち、秘匿化レコード特定情報６５が示す２つの変換された属性名ＡＡＡ，ＢＢＢでユニークなデータを１つのレコードとして扱う。そして、データ分析部２２は、例えば学習モデルを用いてこれらのレコードを分類する場合、学習モデルが、例えばＣＣＣの値が０以上か０未満かでレコードを２クラス分類するモデルである場合は、秘匿化レコード集合６０に含まれる５つのレコードを、この学習モデルを用いて２つのクラスに分類する。

また、例えば、最小２乗法の数値モデルを用いて値を予測する場合、データ分析部２２は、例えば目的変数ＹをＣＣＣ、説明変数ＸをＤＤＤとし、Σ（Ｙ_ｉ＝ａＸ_ｉ＋ｂ）^２の値、つまり誤差の２乗の和が最小となるように、ａとｂを決定する。ここで、ｉ＝１〜５におけるＹ_ｉとＸ_ｉは順に、Ｙ_ｉ［１，−１，０，−１，−１］、Ｘ_ｉ［１００，４０，２０，１０，０］とする。

ここで、仮に図６に例示した秘匿化レコード集合６０に対応する秘匿化レコード特定情報が属性名ＡＡＡのみを示しているとすると、秘匿化レコード集合６０は属性名ＡＡＡがＸ，Ｙのレコードがそれぞれ２つ含まれているため、個々のレコードを特定できない。したがって、上述の例でＣＣＣやＤＤＤの値としてどれを採用すべきか不明となり、モデル２５を用いたデータの分類や分析を適切に行うことができない。これに対し、本実施形態では、秘匿化レコード集合６０に含まれる個々のレコードを秘匿化レコード特定情報６５に基づいて特定できるようにしているので、モデル２５を用いたデータの分類や分析を適切に行うことができる。

なお、第２受信部２１が受信した秘匿化レコード集合６０は、モデル２５の性能を評価するための分析に利用される以外にも、いくつかのモデル２５の中から最適なものを選定するための評価に利用したり、パラメータのチューニングをし直すために利用（学習モデルであれば学習データとして利用）したりすることも可能である。

データ分析部２２による分析結果の一例を図８に示す。図８に示す分析結果７０は、図６に示した秘匿化レコード集合６０に含まれる各レコードを、モデル２５を用いて２つのグループに分類した結果を示している。この分析結果７０は、図６に示した秘匿化レコード集合６０に含まれるレコードのうち、図７に示した秘匿化レコード特定情報６５で示される２つの属性名ＡＡＡ，ＢＢＢに対応する２つの属性値の組み合わせが「Ｘ，β」のレコードと「Ｙ，β」のレコードと「Ｚ，α」のレコードとが「グループ１」に分類され、「Ｘ，α」のレコードと「Ｙ，α」のレコードとが「グループ２」に分類されたことを示している。

第２送信部２３は、データ分析部２２による分析結果７０を、ネットワーク３０を介して第１情報処理装置１０に送信する。

第１情報処理装置１０の第１受信部１６は、第２情報処理装置２０の第２送信部２３が送信したデータ分析部２２による分析結果７０を、ネットワーク３０を介して受信する。

秘匿化解除部１７は、第１受信部１６が受信した分析結果７０に対し、レコード集合４０の秘匿化に用いた変換情報５０に基づく逆変換を行うことにより、秘匿化解除分析結果を生成する。秘匿化解除分析結果は、データ分析部２２による分析結果７０において示される各レコードを、レコード特定情報４５によって特定できる状態に復元したものである。秘匿化解除部１７は、分析結果７０において各レコードを特定するために用いる属性値、つまり秘匿化レコード特定情報６５が示す属性名に対応する属性値を、変換情報５０に基づいて逆変換することにより、分析結果７０における各レコードの秘匿化が解除された秘匿化解除分析結果を生成する。

秘匿化解除分析結果の一例を図９に示す。図９に示す秘匿化解除分析結果８０は、図８に示した分析結果７０に対し、図５に示した変換情報５０に基づく逆変換を行うことにより生成された秘匿化解除分析結果の例である。この秘匿化解除分析結果８０から、図３に示したレコード集合４０に含まれる各レコードを、モデル２５を用いて２つのグループに分類した場合、レコード特定情報４５で示される２つの属性名Ｃｏｌ０，Ｃｏｌ１に対応する２つの属性値の組み合わせが「Ａ，ａｂ」のレコードと「Ｂ，ａｂ」のレコードと「Ｃ，ａａ」のレコードとが「グループ１」に分類され、「Ａ，ａａ」のレコードと「Ｂ，ａａ」のレコードとが「グループ２」に分類されることが分かる。つまり、図３に示したレコード集合４０に含まれる各レコードのうち、データ要素として（Ｃｏｌ０／Ａ）、（Ｃｏｌ１／ａｂ）を持つ２行目のレコードと、データ要素として（Ｃｏｌ０／Ｂ）、（Ｃｏｌ１／ａｂ）を持つ４行目のレコードと、データ要素として（Ｃｏｌ０／Ｃ）、（Ｃｏｌ１／ａａ）を持つ５行目のレコードが「グループ１」に分類され、データ要素として（Ｃｏｌ０／Ａ）、（Ｃｏｌ１／ａａ）を持つ１行目のレコードと、データ要素として（Ｃｏｌ０／Ｂ）、（Ｃｏｌ１／ａａ）を持つ３行目のレコードが「グループ２」に分類されることが分かる。

出力部１８は、秘匿化解除部１７により生成された秘匿化解除分析結果８０を、データ提供者が確認できるように出力する。出力部１８による秘匿化解除分析結果８０の出力は、例えば、秘匿化解除分析結果８０をディスプレイに表示させる形態であってもよいし、紙媒体への印刷など、表示以外の形態であってもよい。データ提供者は、出力部１８により出力された秘匿化解除分析結果８０を確認することにより、データ利用者が生成してデータ分析に用いたモデル２５の有効性を評価することができる。

次に、本実施形態において実施される一連の処理の流れについて、図１０を参照して説明する。図１０は、第１実施形態に係る情報処理システム１の処理手順の一例を示すシーケンス図である。

まず、第１情報処理装置１０において、レコード集合取得部１１がレコード集合４０を取得するとともに、レコード特定情報取得部１２がレコード特定情報４５を取得する（ステップＳ１０１）。また、変換情報取得部１３が変換情報５０を取得する（ステップＳ１０２）。そして、秘匿化部１４が、レコード集合４０と変換情報５０とに基づいて秘匿化レコード集合６０を生成するとともに（ステップＳ１０３）、レコード特定情報４５と変換情報５０とに基づいて秘匿化レコード特定情報６５を生成する（ステップＳ１０４）。秘匿化部１４により生成された秘匿化レコード集合６０と秘匿化レコード特定情報６５は、第１送信部１５によって第２情報処理装置２０へと送信される（ステップＳ１０５）。

次に、第２情報処理装置２０において、第２受信部２１が、秘匿化レコード集合６０と秘匿化レコード特定情報６５とを第１情報処理装置１０から受信する（ステップＳ１０６）。そして、データ分析部２２が、秘匿化レコード特定情報６５により特定される、秘匿化レコード集合６０に含まれる各レコードデータに対して、モデル２５を用いた分析を行う（ステップＳ１０７）。データ分析部２２による分析結果７０は、第２送信部２３によって第１情報処理装置１０へと送信される（ステップＳ１０８）。

次に、第１情報処理装置１０において、第１受信部１６が、データ分析部２２による分析結果７０を第２情報処理装置２０から受信する（ステップＳ１０９）。そして、秘匿化解除部１７が、変換情報５０に基づいて、データ分析部２２による分析結果７０から秘匿化解除分析結果８０を生成する（ステップＳ１１０）。秘匿化解除部１７により生成された秘匿化解除分析結果８０は、出力部１８によって出力（例えばディスプレイに表示）される（ステップＳ１１１）。

以上、具体的な例を挙げながら詳細に説明したように、本実施形態によれば、第１情報処理装置１０から第２情報処理装置２０に対し、レコード集合４０を秘匿化した秘匿化レコード集合６０と併せて、秘匿化レコード集合６０に含まれる各レコードを特定するための秘匿化レコード特定情報６５が送信される。したがって、第２情報処理装置２０側では、秘匿化レコード特定情報６５に基づいて秘匿化レコード集合６０に含まれる各レコードを特定することができ、秘匿化による情報漏洩のリスク低減を図りながら、秘匿化レコード集合６０に含まれる各レコードに対してモデル２５を用いた分析を適切に行うことができる。

また、本実施形態によれば、第２情報処理装置２０から第１情報処理装置１０に対して分析結果７０が送信され、第１情報処理装置１０側で、秘匿化解除分析結果８０が生成されて出力される。したがって、データ提供者は、秘匿化解除分析結果８０を確認することによって、データ利用者により生成されたモデル２５の有効性を評価することができる。

＜第２実施形態＞
次に、第２実施形態について説明する。本実施形態は、第１情報処理装置１０に、変換情報５０を生成する機能と、変換情報５０を管理する機能とを持たせた例である。その他は、上述の第１実施形態と同様である。なお、以下の説明においては、第１実施形態と共通の構成要素については同一の符号を付して、重複した説明を適宜省略する。

図１１は、第２実施形態に係る情報処理システム１’の機能的な構成例を示すブロック図である。本実施形態の第１情報処理装置１０’は、図１１に示すように、上述の第１実施形態の第１情報処理装置１０が備える変換情報取得部１３の代わりに、変換設定情報取得部３１と変換情報生成部３２を備える。また、本実施形態の第１情報処理装置１０’は、変換情報５０を管理するための変換情報管理部３３を備える。

変換設定情報取得部３１は、変換設定情報を取得する。変換設定情報は、変換の対象となる属性名もしくは属性値に対して適用される変換ルールを指定する情報である。

変換設定情報の一例を図１２に示す。図１２に示す変換設定情報９０は、レコード集合４０に含まれる各レコードのデータ要素の属性名と属性値の双方を変換の対象とする場合の変換設定情報の例であり、属性値の変換に適用される属性値変換ルール９１と、属性名の変換に適用される属性名変換ルール９２とを含む。属性値変換ルール９１は、変換の対象となるデータ要素を属性名で指定するとともに、そのデータ要素の属性値を変換する方式（変換ルール）を指定している。属性名変換ルール９２は、変換の対象となるデータ要素の属性名とその属性名を変換する方式（変換ルール）を指定している。図１２に例示する変換設定情報９０では、文字列に対する変換ルールとして「１対１の文字列変換」、数値に対する変換ルールとして「数値の正規化」および「２倍の値」といった変換ルールが指定されているが、変換に適用される変換ルールはこれに限らない。また、例えば「Ｐ０」を「Ｘ０」に変換といったように、変換前後の具体的な文字列を指定した変換ルールが指定されてもよい。

変換情報生成部３２は、レコード集合取得部１１が取得したレコード集合４０と、変換設定情報取得部３１が取得した変換設定情報９０とに基づいて、変換情報５０を生成する。例えば、変換情報生成部３２は、図３に示したレコード集合４０と、図１２に示した変換設定情報９０とに基づいて、図５に示した変換情報５０を生成することができる。すなわち、図３に示したレコード集合４０に含まれる各レコードのデータ要素のうち、「１対１の文字列変換」が適用される属性名や属性値に対し、変換後の文字列を各々決定することにより、図５に示した変換情報５０が生成される。

変換情報管理部３３は、変換情報生成部３２により生成された変換情報５０を管理する。すなわち、変換情報生成部３２により生成された変換情報５０は、図１３に示すように、その変換情報５０を識別する固有のＩＤ（第２識別情報）であるＴＩＤが付与されて、変換情報管理部３３に保存される。また、本実施形態では、変換情報管理部３３に保存された変換情報５０を用いて秘匿化部１４により秘匿化レコード集合６０が生成されると、この秘匿化レコード集合６０を識別する固有のＩＤ（第１識別情報）であるＲＩＤが秘匿化レコード集合６０に対して付与される。変換情報管理部３３は、例えば図１４に示すように、秘匿化レコード集合６０に対して付与されたＲＩＤと、その秘匿化レコード集合６０の生成に用いた変換情報５０に付与されたＴＩＤとを対応付けた対応表９５を保持する。

本実施形態では、第１情報処理装置１０’から第２情報処理装置２０に対して秘匿化レコード集合６０が送信される際に、例えば秘匿化レコード集合６０にＲＩＤが付加されるなど、第２情報処理装置２０のデータ分析部２２によって分析される秘匿化レコード集合６０がＲＩＤにより識別できるように送信される。そして、第２情報処理装置２０から第１情報処理装置１０’に対してデータ分析部２２による分析結果７０が送信される際に、例えば分析結果７０にＲＩＤが付加されるなど、分析結果７０に対応する秘匿化レコード集合６０、つまり、データ分析部２２がモデル２５を用いて分析した秘匿化レコード集合６０がＲＩＤによって識別できるように送信される。

本実施形態では、第１情報処理装置１０’の秘匿化解除部１７が、第２情報処理装置２０のデータ分析部２２による分析結果７０から秘匿化解除分析結果８０を生成する際に、その分析結果７０に対応する秘匿化レコード集合６０のＲＩＤと、変換情報管理部３３に保存された対応表９５とに基づいて、分析結果７０に対する逆変換に用いる変換情報５０を特定する。すなわち、秘匿化解除部１７は、変換情報管理部３３が保持する対応表９５を参照することにより、第１受信部１６が第２情報処理装置２０から受信した分析結果７０に対応する秘匿化レコード集合６０のＲＩＤに対応付けられたＴＩＤを特定する。そして、変換情報管理部３３に保存された変換情報５０のうち、このＴＩＤが付与された変換情報５０を用いて分析結果７０に対する逆変換を行うことで、秘匿化解除分析結果８０を生成する。

なお、上述の第１実施形態の第１情報処理装置１０は、変換情報管理部３３を備えないものとして説明したが、上述の第１実施形態の第１情報処理装置１０に変換情報管理部３３を設けてもよい。この場合、変換情報管理部３３は、変換情報取得部１３により取得された変換情報５０にＴＩＤを付与して保存するとともに、上述した対応表９５を保持することにより、変換情報取得部１３により取得された変換情報５０を管理する。

次に、本実施形態において実施される一連の処理の流れについて、図１５を参照して説明する。図１５は、第２実施形態に係る情報処理システム１’の処理手順の一例を示すシーケンス図である。

まず、第１情報処理装置１０’において、レコード集合取得部１１がレコード集合４０を取得するとともに、レコード特定情報取得部１２がレコード特定情報４５を取得する（ステップＳ２０１）。また、変換設定情報取得部３１が変換設定情報９０を取得する（ステップＳ２０２）。そして、変換情報生成部３２が、レコード集合４０と変換設定情報９０とに基づいて変換情報５０を生成する（ステップＳ２０３）。変換情報生成部３２により生成された変換情報５０はＴＩＤが付与されて、変換情報管理部３３に保存される。

その後、秘匿化部１４が、変換情報管理部３３から変換情報５０を読み出し、レコード集合４０と変換情報５０とに基づいて秘匿化レコード集合６０を生成するとともに（ステップＳ２０４）、レコード特定情報４５と変換情報５０とに基づいて秘匿化レコード特定情報６５を生成する（ステップＳ２０５）。秘匿化部１４により生成された秘匿化レコード集合６０にはＲＩＤが付与される。そして、秘匿化部１４は、秘匿化レコード集合６０の生成に用いた変換情報５０のＴＩＤと、生成した秘匿化レコード集合６０のＲＩＤとを対応付けて、変換情報管理部３３が保持する対応表９５に登録する（ステップＳ２０６）。また、秘匿化部１４により生成された秘匿化レコード集合６０と秘匿化レコード特定情報６５は、秘匿化レコード集合６０にＲＩＤが付加された状態で、第１送信部１５によって第２情報処理装置２０へと送信される（ステップＳ２０７）。

次に、第２情報処理装置２０において、第２受信部２１が、ＲＩＤが付加された秘匿化レコード集合６０と秘匿化レコード特定情報６５とを第１情報処理装置１０から受信する（ステップＳ２０８）。そして、データ分析部２２が、秘匿化レコード特定情報６５により特定される、秘匿化レコード集合６０に含まれる各レコードデータに対して、モデル２５を用いた分析を行う（ステップＳ２０９）。データ分析部２２による分析結果７０は、モデル２５を用いて分析した秘匿化レコード集合６０のＲＩＤが付加された状態で、第２送信部２３によって第１情報処理装置１０へと送信される（ステップＳ２１０）。

次に、第１情報処理装置１０において、第１受信部１６が、ＲＩＤが付加された分析結果７０を第２情報処理装置２０から受信する（ステップＳ２１１）。そして、秘匿化解除部１７が、変換情報管理部３３が保持する対応表９５を参照することにより、分析結果７０に付加されたＲＩＤに対応付けられたＴＩＤで識別される変換情報５０を特定し、この変換情報５０を用いて、データ分析部２２による分析結果７０から秘匿化解除分析結果８０を生成する（ステップＳ２１２）。秘匿化解除部１７により生成された秘匿化解除分析結果８０は、出力部１８によって出力（例えばディスプレイに表示）される（ステップＳ２１３）。

以上、具体的な例を挙げながら詳細に説明したように、本実施形態によれば、第１情報処理装置１０’が変換情報５０の代わりに変換設定情報９０を取得し、この変換設定情報９０とレコード集合４０とに基づいて変換情報５０を生成するようにしているので、上述の第１実施形態と同様の効果が得られることに加えて、レコード集合４０を秘匿化する上で最適な変換情報５０を柔軟に生成できるといった効果が得られる。

また、本実施形態では、第１情報処理装置１０’の変換情報管理部３３が、変換情報５０にＴＩＤを付与して保存するとともに、秘匿化レコード集合６０に付与されたＲＩＤと、この秘匿化レコード集合６０の生成に用いた変換情報５０に付与されたＴＩＤとを対応付けた対応表９５を保持し、この対応表９５を用いて、第２情報処理装置２０のデータ分析部２２による分析結果７０から秘匿化解除分析結果８０を生成するために必要な変換情報５０を特定できるようにしている。したがって、本実施形態によれば、第１情報処理装置１０’内で多数の変換情報５０が扱われる場合であっても、これらの変換情報５０の管理を適切に行って、間違った変換情報５０を利用することで生じる動作エラーを未然に防止することができる。

＜変形例１＞
上述の実施形態では、レコード集合４０に含まれる全てのレコードを対象として秘匿化部１４による変換が行われることを想定したが、秘匿化部１４による変換が行われないレコードがあってもよい。ただし、秘匿化部１４による変換が行われないレコードが存在する場合であっても、秘匿化レコード集合６０に含まれる各レコードは秘匿化レコード特定情報６５に基づいて一意に特定される必要がある。このため、秘匿化部１４により変換される属性名や属性値の変換後の値は、秘匿化部１４による変換の対象とならないレコードの属性名や属性値と重複しないようにする必要がある。

例えば、図３に例示したレコード集合に含まれるレコードのうち、５行目のレコードを変換の対象外とする場合、Ｃｏｌ０の属性値の変換後の値はＣと異なる値にする必要があり、Ｃｏｌ１の属性値の変換後の値はａａと異なる値にする必要がある。

＜変形例２＞
上述の実施形態では、第１情報処理装置１０（１０’）において秘匿化レコード集合６０と秘匿化レコード特定情報６５の組を１つ生成する場合を想定して説明したが、秘匿化レコード集合６０と秘匿化レコード特定情報６５の組を複数生成する場合は、変換情報５０や変換設定情報９０の利用方法にいくつかのバリエーションが考えられる。

例えば、１つの変換設定情報９０と１つのレコード集合４０とに基づいて複数の変換情報５０を生成し、１つのレコード集合４０およびレコード特定情報４５に対してこれら複数の変換情報５０を個別に適用することにより、複数の秘匿化レコード集合６０および秘匿化レコード特定情報６５を生成することができる。

具体的な例を挙げると、例えば、図３に示したレコード集合４０と、図４に示したレコード特定情報４５と、図１２に示した変換設定情報９０とが取得されたとする。この場合、上述の実施形態で説明したように、図１２に示した変換設定情報９０と図３に示したレコード集合４０とに基づいて、図５に示した変換情報５０が生成される。そして、図３に示したレコード集合４０に対して図５に示した変換情報５０を適用することにより、図６に示した秘匿化レコード集合６０が生成されるとともに、図４に示したレコード特定情報４５に対して図５に示した変換情報５０を適用することにより、図７に示した秘匿化レコード特定情報６５が生成される。

これとは別に、図１２に示した変換設定情報９０と図３に示したレコード集合４０とに基づいて、図１６に示す変換情報５０を生成することもできる。図１６に示す変換情報５０は、図５に示した変換情報５０と比較して、１対１の文字列変換による変換後の文字列が異なる。そして、図３に示したレコード集合４０に対し、この図１６に示す変換情報５０を適用することにより、図１７に示すように、図６に示した秘匿化レコード集合６０とは異なる秘匿化レコード集合６０を生成することができる。また、図４に示したレコード特定情報４５に対して図１６に示す変換情報５０を適用することにより、図１８に示すように、図７に示した秘匿化レコード特定情報６５とは異なる秘匿化レコード特定情報６５を生成することができる。

また、複数の変換設定情報９０と１つのレコード集合４０とに基づいて複数の変換情報５０を生成し、１つのレコード集合４０およびレコード特定情報４５に対してこれら複数の変換情報５０を個別に適用することにより、複数の秘匿化レコード集合６０および秘匿化レコード特定情報６５を生成することもできる。

具体的な例を挙げると、例えば、図３に示したレコード集合４０と、図４に示したレコード特定情報４５が取得され、また、図１２に示した変換設定情報９０に加えて、図１９に示す変換設定情報９０が取得されたとする。図１９に示す変換設定情報９０は、属性値の変換に適用される属性値変換ルール９１は図１２に示した変換設定情報９０と同様であるが、属性名の変換に適用される属性名変換ルール９２がブランク、つまり属性名の変換は行わない設定である。

この場合、上述の実施形態で説明したように、図１２に示した変換設定情報９０と図３に示したレコード集合４０とに基づいて、図５に示した変換情報５０が生成される。そして、図３に示したレコード集合４０に対して図５に示した変換情報５０を適用することにより、図６に示した秘匿化レコード集合６０が生成されるとともに、図４に示したレコード特定情報４５に対して図５に示した変換情報５０を適用することにより、図７に示した秘匿化レコード特定情報６５が生成される。

これとは別に、図１９に示す変換設定情報９０と図３に示したレコード集合４０とに基づいて、図２０に示す変換情報５０が生成される。図２０に示す変換情報５０は、図５に示した変換情報５０と比較して、属性名変換表５３が含まれていない点が異なる。そして、図３に示したレコード集合４０に対し、この図２０に示す変換情報５０を適用することにより、図２１に示すように、図６に示した秘匿化レコード集合６０とは異なる秘匿化レコード集合６０を生成することができる。また、図２０に示す変換情報５０は属性名変換表５３が含まれていないため、図４に示したレコード特定情報４５をそのままコピーすることで、図２２に示す秘匿化レコード特定情報６５を生成することができる。

また、１つの変換設定情報９０と複数のレコード集合４０とに基づいて１つの変換情報５０を生成し、複数のレコード集合４０およびレコード特定情報４５に対して共通の変換情報５０を適用することにより、複数の秘匿化レコード集合６０および秘匿化レコード特定情報６５を生成することもできる。例えば、１つの変換設定情報９０と１つのレコード集合４０とに基づいて生成された変換情報５０を保存しておき、他のレコード集合４０が取得されたときに、保存しておいた変換情報５０のうちで他のレコード集合４０に最も適合するものを選び出し、この変換情報５０を他のレコード集合４０に基づいて更新する。これにより、複数のレコード集合４０およびレコード特定情報４５に対して共通の変換情報５０を適用し、複数の秘匿化レコード集合６０および秘匿化レコード特定情報６５を生成することが可能となる。

具体的な例を挙げると、例えば、図１２に示した変換設定情報９０と図３に示したレコード集合４０とに基づいて生成された図５に示した変換情報５０が、変換情報管理部３３に保存されているとする。また、新たなレコード集合４０として、図２３に示すレコード集合４０が取得されたとする。このとき、図５に示した変換情報５０を変換情報管理部３３から読み出し、この変換情報５０を図２３に示すレコード集合４０に基づいて更新することにより、図２４に示す変換情報５０が生成される。この図２４に示す変換情報５０において、第１属性値変換表５１の斜線を付した部分が、図２３に示すレコード集合４０に基づいて更新された部分である。

この図２３に示す変換情報５０は、図３に示したレコード集合４０と図２３に示すレコード集合４０の双方に対して共通して適用できる変換情報５０である。したがって、この共通の変換情報５０を用いて、複数のレコード集合４０から複数の秘匿化レコード集合６０を生成することができる。

＜補足説明＞
上述の実施形態で説明した第１情報処理装置１０（１０’）や第２情報処理装置２０は、例えば、一般的なコンピュータを構成するハードウェアと、コンピュータで実行されるプログラム（ソフトウェア）との協働により実現することができる。すなわち、上述の実施形態で説明した第１情報処理装置１０（１０’）や第２情報処理装置２０の各部の機能は、コンピュータが所定のプログラムを実行することによって実現できる。

図２５は、第１情報処理装置１０（１０’）および第２情報処理装置２０のハードウェア構成例を示すブロック図である。これら第１情報処理装置１０（１０’）や第２情報処理装置２０は、例えば図２５に示すように、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）などのプロセッサ回路１０１と、ＲＡＭ（Random Access Memory）やＲＯＭなどのメモリ１０２と、ＨＤＤ（Hard Disk Drive）やＳＤＤ（Solid State Drive）などのストレージデバイス１０３と、入力デバイス１０６やディスプレイ１０７などの周辺機器を接続するための入出力Ｉ／Ｆ１０４と、外部機器と通信を行う通信Ｉ／Ｆ１０５と、を備えた一般的なコンピュータ（計算機システム）としてのハードウェア構成を採用することができる。

そして、第１情報処理装置１０（１０’）の各部、つまり、レコード集合取得部１１、レコード特定情報取得部１２、変換情報取得部１３、秘匿化部１４、第１送信部１５、第１受信部１６、秘匿化解除部１７、出力部１８、変換設定情報取得部３１、変換情報生成部３２、変換情報管理部３３の機能は、例えば、プロセッサ回路１０１がストレージデバイス１０３などに格納されたプログラムを読み出し、メモリ１０２を利用してこのプログラムを実行することにより実現することができる。

また、第２情報処理装置２０の各部、つまり、第２受信部２１、データ分析部２２、第２送信部２３の機能は、例えば、プロセッサ回路１０１がストレージデバイス１０３などに格納されたプログラムを読み出し、メモリ１０２を利用してこのプログラムを実行することにより実現することができる。

なお、第１情報処理装置１０（１０’）の各部の機能を実現するためのプログラムや第２情報処理装置２０の各部の機能を実現するためのプログラムは、例えば、インターネットなどのネットワークに接続された他のコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供することができる。また、上記プログラムを、インターネットなどのネットワーク経由で提供または配布するようにしてもよい。また、上記プログラムを、コンピュータ読み取り可能な記録媒体に格納して提供するようにしてもよい。

なお、第１情報処理装置１０（１０’）の各部や第２情報処理装置２０の各部は、その一部または全部が、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field-Programmable Gate Array）などの専用のハードウェアにより実現される構成であってもよい。また、第１情報処理装置１０（１０’）の各部や第２情報処理装置２０の各部は、それぞれ複数台のコンピュータに分散して実現される構成であってもよい。

以上、本発明の実施形態を説明したが、この実施形態は例として提示したものであり、発明の範囲を限定することは意図していない。この新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ 情報処理システム
１０ 第１情報処理装置
１１ レコード集合取得部
１２ レコード特定情報取得部
１３ 変換情報取得部
１４ 秘匿化部
１５ 第１送信部
１６ 第１受信部
１７ 秘匿化解除部
１８ 出力部
２０ 第２情報処理装置
２１ 第２受信部
２２ データ分析部
２３ 第２送信部
２５ モデル
３０ ネットワーク
３１ 変換設定情報取得部
３２ 変換情報生成部
３３ 変換情報管理部
４０ レコード集合
４５ レコード特定情報
５０ 変換情報
６０ 秘匿化レコード集合
６５ 秘匿化レコード特定情報
７０ 分析結果
８０ 秘匿化解除分析結果

Claims (10)

1. 第１情報処理装置と第２情報処理装置とを含む情報処理システムであって、
   前記第１情報処理装置は、
   属性名と属性値のセットであるデータ要素を複数持つレコードの集合であるレコード集合を取得するレコード集合取得部と、
   前記レコード集合に含まれる各レコードを一意に特定するための情報であって、少なくとも１つの前記属性名を示すレコード特定情報を取得するレコード特定情報取得部と、
   前記レコード集合に含まれる少なくとも１つのレコードが持つ複数のデータ要素のうち、変換情報により指定されたデータ要素の属性名と属性値の少なくとも一方を前記変換情報に従って変換することにより秘匿化レコード集合を生成するとともに、前記レコード特定情報と前記変換情報とに基づいて、前記秘匿化レコード集合に含まれる各レコードを一意に特定するための秘匿化レコード特定情報を生成する秘匿化部と、
   前記秘匿化レコード集合と前記秘匿化レコード特定情報とを前記第２情報処理装置に送信する第１送信部と、を備え、
   前記第２情報処理装置は、
   前記秘匿化レコード集合と前記秘匿化レコード特定情報とを前記第１情報処理装置から受信する第２受信部と、
   前記秘匿化レコード集合に含まれる各レコードであって、前記秘匿化レコード特定情報に基づいて特定される各レコードに対し、学習モデルまたは数値モデルを用いた分析を行うデータ分析部と、を備える
   情報処理システム。
2. 前記第２情報処理装置は、
   前記データ分析部による分析結果を前記第１情報処理装置に送信する第２送信部をさらに備え、
   前記第１情報処理装置は、
   前記分析結果を前記第２情報処理装置から受信する第１受信部と、
   前記分析結果に対し、前記変換情報に基づく逆変換を行うことにより秘匿化解除分析結果を生成する秘匿化解除部と、
   前記秘匿化解除分析結果を出力する出力部と、をさらに備える
   請求項１に記載の情報処理システム。
3. 前記第１情報処理装置は、
   前記秘匿化レコード集合を識別する第１識別情報と該秘匿化レコード集合の生成に用いた前記変換情報を識別する第２識別情報とを対応付けた対応表を保持する変換情報管理部をさらに備え、
   前記秘匿化解除部は、前記分析結果に対応する前記秘匿化レコード集合の前記第１識別情報と、前記対応表とに基づいて、前記分析結果に対する逆変換に用いる前記変換情報を特定する
   請求項２に記載の情報処理システム。
4. 前記第１情報処理装置は、
   前記変換情報を取得する変換情報取得部をさらに備える
   請求項１乃至３のいずれか一項に記載の情報処理システム。
5. 前記第１情報処理装置は、
   変換の対象となる属性名もしくは属性値に対して適用される変換ルールを指定する変換設定情報を取得する変換設定情報取得部と、
   前記変換設定情報と前記レコード集合とに基づいて前記変換情報を生成する変換情報生成部と、をさらに備える
   請求項１乃至３のいずれか一項に記載の情報処理システム。
6. 前記変換情報生成部は、１つの前記変換設定情報と１つの前記レコード集合とに基づいて複数の前記変換情報を生成し、
   前記秘匿化部は、複数の前記変換情報を用いて１つの前記レコード集合から複数の前記秘匿化レコード集合を生成する
   請求項５に記載の情報処理システム。
7. 前記変換情報生成部は、１つの前記変換設定情報と複数の前記レコード集合とに基づいて１つの前記変換情報を生成し、
   前記秘匿化部は、１つの前記変換情報を用いて複数の前記レコード集合から複数の前記秘匿化レコード集合を生成する
   請求項５に記載の情報処理システム。
8. 属性名と属性値のセットであるデータ要素を複数持つレコードの集合であるレコード集合を取得するレコード集合取得部と、
   前記レコード集合に含まれる各レコードを一意に特定するための情報であって、少なくとも１つの前記属性名を示すレコード特定情報を取得するレコード特定情報取得部と、
   前記レコード集合に含まれる少なくとも１つのレコードが持つ複数のデータ要素のうち、変換情報により指定されたデータ要素の属性名と属性値の少なくとも一方を前記変換情報に従って変換することにより秘匿化レコード集合を生成するとともに、前記レコード特定情報と前記変換情報とに基づいて、前記秘匿化レコード集合に含まれる各レコードを一意に特定するための秘匿化レコード特定情報を生成する秘匿化部と、
   前記秘匿化レコード集合と前記秘匿化レコード特定情報とを外部装置に送信する送信部と、
   前記外部装置において、前記秘匿化レコード集合に含まれる各レコードであって、前記秘匿化レコード特定情報に基づいて特定される各レコードに対し、学習モデルまたは数値モデルを用いた分析を行うことにより得られた分析結果を、前記外部装置から受信する受信部と、
   前記分析結果に対し、前記変換情報に基づく逆変換を行うことにより秘匿化解除分析結果を生成する秘匿化解除部と、
   前記秘匿化解除分析結果を出力する出力部と、を備える
   情報処理装置。
9. 第１情報処理装置と第２情報処理装置とを含む情報処理システムにより実行される情報処理方法であって、
   前記第１情報処理装置のレコード集合取得部が、属性名と属性値のセットであるデータ要素を複数持つレコードの集合であるレコード集合を取得するステップと、
   前記第１情報処理装置のレコード特定情報取得部が、前記レコード集合に含まれる各レコードを一意に特定するための情報であって、少なくとも１つの前記属性名を示すレコード特定情報を取得するステップと、
   前記第１情報処理装置の秘匿化部が、前記レコード集合に含まれる少なくとも１つのレコードが持つ複数のデータ要素のうち、変換情報により指定されたデータ要素の属性名と属性値の少なくとも一方を前記変換情報に従って変換することにより秘匿化レコード集合を生成するとともに、前記レコード特定情報と前記変換情報とに基づいて、前記秘匿化レコード集合に含まれる各レコードを一意に特定するための秘匿化レコード特定情報を生成するステップと、
   前記第１情報処理装置の送信部が、前記秘匿化レコード集合と前記秘匿化レコード特定情報とを前記第２情報処理装置に送信するステップと、
   前記第２情報処理装置の受信部が、前記秘匿化レコード集合と前記秘匿化レコード特定情報とを前記第１情報処理装置から受信するステップと、
   前記第２情報処理装置のデータ分析部が、前記秘匿化レコード集合に含まれる各レコードであって、前記秘匿化レコード特定情報に基づいて特定される各レコードに対し、学習モデルまたは数値モデルを用いた分析を行うステップと、を含む
   情報処理方法。
10. コンピュータに、
    属性名と属性値のセットであるデータ要素を複数持つレコードの集合であるレコード集合を取得する機能と、
    前記レコード集合に含まれる各レコードを一意に特定するための情報であって、少なくとも１つの前記属性名を示すレコード特定情報を取得する機能と、
    前記レコード集合に含まれる少なくとも１つのレコードが持つ複数のデータ要素のうち、変換情報により指定されたデータ要素の属性名と属性値の少なくとも一方を前記変換情報に従って変換することにより秘匿化レコード集合を生成するとともに、前記レコード特定情報と前記変換情報とに基づいて、前記秘匿化レコード集合に含まれる各レコードを一意に特定するための秘匿化レコード特定情報を生成する機能と、
    前記秘匿化レコード集合と前記秘匿化レコード特定情報とを外部装置に送信する機能と、
    前記外部装置において、前記秘匿化レコード集合に含まれる各レコードであって、前記秘匿化レコード特定情報に基づいて特定される各レコードに対し、学習モデルまたは数値モデルを用いた分析を行うことにより得られた分析結果を、前記外部装置から受信する機能と、
    前記分析結果に対し、前記変換情報に基づく逆変換を行うことにより秘匿化解除分析結果を生成する機能と、
    前記秘匿化解除分析結果を出力する機能と、
    を実現させるためのプログラム。

Images