JP7154884B2 - 情報秘匿化方法、情報秘匿化プログラム、情報秘匿化装置および情報提供システム - Google Patents

Description

開示の実施形態は、情報秘匿化方法、情報秘匿化プログラム、情報秘匿化装置および情報提供システムに関する。

近年、情報通信技術（ＩＣＴ：Information and Communication Technology）の飛躍的な進展に伴い、多種多様かつ膨大なデータ群、いわゆるビッグデータの収集および分析が可能となっている（たとえば、特許文献１参照）。

特開２０１７－１７３９１０号公報

しかしながら、上述した従来技術には、個人の権利利益の保護を図りつつ、個人情報を有効に活用するうえで更なる改善の余地がある。

ビッグデータは、特に、個人の行動・状態等に関する情報に代表される、パーソナルデータについては利用価値が高いとされている。その一方で、２０１５年に改正個人情報保護法が施行されたことが示すように、パーソナルデータの利用は、特定の個人の権利利益を侵害する危険性を孕んでいるため、その取り扱いには細心の注意を払うことが要請されている。

実施形態の一態様は、上記に鑑みてなされたものであって、個人の権利利益の保護を図りつつ、個人情報を有効に活用することができる情報秘匿化方法、情報秘匿化プログラム、情報秘匿化装置および情報提供システムを提供することを目的とする。

実施形態の一態様に係る情報秘匿化方法は、コンピュータが実行する情報秘匿化方法であって、抽出工程と、加工工程とを含む。前記抽出工程は、個人情報を含むデータのデータ群を抽出する。前記加工工程は、前記個人情報を少なくとも個人の識別子を含む所定のカテゴリに分類するとともに、該カテゴリごとで予め設定された規則性に基づいて前記個人情報から前記個人が一意に特定されないように前記データを加工する。また、加工後の前記データは、カラム単位で構成されており、前記加工工程は、前記データから少なくとも前記識別子に分類される前記個人情報を削除する加工を行い、加工後の前記データを任意のカラムのまとまりで分断し、分断されたまとまりごとで異なる暗号化処理を施す。

実施形態の一態様によれば、個人の権利利益の保護を図りつつ、個人情報を有効に活用することができる。

図１は、実施形態に係る情報提供システムの概要説明図である。 図２は、実施形態に係る情報提供システムのブロック図である。 図３は、実施形態に係る加工部のブロック図である。 図４は、加工処理の具体例を示す図（その１）である。 図５は、加工処理の具体例を示す図（その２）である。 図６は、加工処理の具体例を示す図（その３）である。 図７は、加工処理の具体例を示す図（その４）である。 図８は、加工処理の具体例を示す図（その５）である。 図９は、実施形態に係る情報提供システムが実行する処理手順を示すフローチャートである。 図１０は、匿名加工装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。

以下、添付図面を参照して、本願の開示する情報秘匿化方法、情報秘匿化プログラム、情報秘匿化装置および情報提供システムの実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。

また、以下では、実施形態に係る情報提供システム１が、医療分野のビッグデータ（以下、「医療ビッグデータ」と言う）を分析して統計モデルを生成し、これをクラウドサービスとしてエンドユーザに提供する場合を例に挙げて説明を行う。

まず、実施形態に係る情報提供システム１の概要について、図１を用いて説明する。図１は、実施形態に係る情報提供システム１の概要説明図である。

図１に示すように、情報提供システム１は、匿名加工装置１０と、分析サーバ２０と、ユーザ端末３０とを含む。匿名加工装置１０は、医療ビッグデータシステム２と、分析システム３との間に介在させて設けられ、医療ビッグデータシステム２および分析サーバ２０の双方に接続される。ここで、医療ビッグデータシステム２は、医療分野に関連する多種多様かつ膨大なデータ群である医療ビッグデータを保持している。分析システム３は、分析サーバ２０を含み、前述のクラウドサービスを提供する事業者によって管理・運用されるセキュア環境のシステムである。

情報提供システム１は、医療ビッグデータから抽出した各種データをたとえば機械学習によって分析し、分析結果としての学習モデル２２ａをエンドユーザＵへクラウドサービスとして提供するものである。

ただし、医療ビッグデータには一般に、たとえば医療機関で受診した患者や、かかる患者の傷病等を特定可能な個人情報が含まれている。こうした個人情報は、たとえば精度の高い分析を行うという点では利用価値が高いが、特定の個人の権利利益を侵害する危険性を孕んでいるため、その取り扱いには細心の注意を払う必要がある。

そこで、実施形態に係る情報提供システム１では、医療ビッグデータから抽出され、分析に用いられる各種データにおいて、個人を一意に特定する個人情報を、匿名加工装置１０によって秘匿化、言い換えれば匿名加工することとした。

具体的には、実施形態に係る情報秘匿化方法では、匿名加工装置１０が、医療ビッグデータシステム２から個人情報を含む医療ビッグデータを抽出して、匿名加工を行う（ステップＳ１）。このとき、匿名加工装置１０は、個人情報を所定のカテゴリに分類するとともに、かかるカテゴリごとで予め設定された規則性に基づいて個人情報から個人が一意に特定されないようにデータを加工する。

上記の所定のカテゴリは、たとえば個人の識別子、個人の属性および個人に関する履歴等である。匿名加工装置１０は、これら各カテゴリにおいて、個人が一意に特定されず、かつ、分析用として利用可能な形態となるように、各カテゴリごとで予め設定された規則性に沿ってデータを加工する。加工後のデータからは、個人が一意に特定される可能性のある情報の一切が削除される。その具体的な加工の態様については、図４～図８を用いた説明で後述する。

そして、匿名加工装置１０は、加工後のデータを分析サーバ２０へ取得させる。匿名加工装置１０は、分析システム３のセキュア環境においてたとえば加工後のデータを分析サーバ２０へファイル出力することによって、加工後のデータを分析サーバ２０へ取得させる。なお、匿名加工装置１０は、かかる加工後のデータの受け渡し時等においてデータが復号化され、個人情報が漏洩することのないように、上記の匿名加工において暗号化処理も施している。

そして、分析サーバ２０は、匿名加工装置１０から受け取った加工後のデータに基づいて学習モデル２２ａを生成する（ステップＳ２）。学習モデル２２ａは、エンドユーザＵに提供されるたとえば医療分野の統計モデルである。学習モデル２２ａは、たとえばディープラーニング等の機械学習のアルゴリズムを用いて生成される。

そして、分析サーバ２０は、生成した学習モデル２２ａを、ネットワークＮを介して有線または無線により通信可能に接続されたユーザ端末３０へ、クラウドサービスとして提供する（ステップＳ３）。ネットワークＮは、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、電話網（携帯電話網、固定電話網等）、地域ＩＰ（Internet Protocol）網、インターネット等の通信ネットワークである。ネットワークＮには、有線ネットワークが含まれていてもよいし、無線ネットワークが含まれていてもよい。

ユーザ端末３０は、エンドユーザＵによって利用される端末装置であって、たとえば、スマートフォンを含む携帯電話機や、タブレット端末や、デスクトップ型ＰＣや、ノート型ＰＣや、ＰＤＡ（Personal Digital Assistant）、ウェアラブルデバイス（wearable device）等の情報処理装置である。

エンドユーザＵは、かかるユーザ端末３０にインストールされたアプリ等を介し、分析サーバ２０の分析結果である学習モデル２２ａを任意に利用することができる。

このように、実施形態に係る情報提供システム１は、分析サーバ２０による分析に先立って、匿名加工装置１０が、個人情報を含む医療ビッグデータを抽出し、個人情報を所定のカテゴリに分類するとともに、かかるカテゴリごとで予め設定された規則性に基づいて個人情報から個人が一意に特定されないようにデータを加工する。

そして、分析サーバ２０が、匿名加工装置１０によって加工されたデータに基づく機械学習により学習モデル２２ａを生成し、生成された学習モデル２２ａをクラウドサービスとして提供する。

したがって、実施形態に係る情報提供システム１によれば、個人の権利利益の保護を図りつつ、個人情報を有効に活用することができる。以下、上述した情報提供システム１の構成例について、さらに具体的に説明する。

図２は、実施形態に係る情報提供システム１のブロック図である。なお、図２では、実施形態の特徴を説明するために必要な構成要素を機能ブロックで表しており、一般的な構成要素についての記載を省略している。

換言すれば、図２に図示される各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。たとえば、各機能ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

また、図２を用いた説明では、これまでに既に述べた構成要素については、説明を簡略化するか、省略する場合がある。また、図２を用いた説明では主に、匿名加工装置１０と分析サーバ２０の構成例について説明する。

まず、匿名加工装置１０から説明する。匿名加工装置１０は、通信インタフェース１１と、記憶部１２と、制御部１３とを有する。なお、匿名加工装置１０は、匿名加工装置１０を利用する管理者等から各種操作を受け付ける入力部（例えば、キーボードやマウス等）や、各種情報を表示するための表示部（例えば、液晶ディスプレイ等）を有してもよい。

通信インタフェース１１は、例えば、ＮＩＣ（Network Interface Card）等によって実現される。通信インタフェース１１は、分析システム３のセキュア環境において分析システム３と有線または無線で接続され、分析サーバ２０との間で情報の送受信を行う。

記憶部１２は、たとえば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、図２の例では、記憶部１２は、加工データＤＢ（データベース）１２ａを記憶する。加工データＤＢ１２ａは、匿名加工後のデータが格納される。

制御部１３は、コントローラ（controller）であり、たとえば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、匿名加工装置１０内部の記憶装置に記憶されている各種プログラム（情報秘匿化プログラムの一例に相当）がＲＡＭを作業領域として実行されることにより実現される。また、制御部１３は、たとえば、コントローラであり、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現される。

図２に示すように、制御部１３は、抽出部１３ａと、加工部１３ｂと、出力部１３ｃとを有し、以下に説明する情報処理の機能や作用を実現または実行する。抽出部１３ａおよび加工部１３ｂの一部は、医療ビッグデータシステム２の環境下において機能する。加工部１３ｂの他の一部および出力部１３ｃは、分析システム３の環境下において機能する。なお、制御部１３の内部構成は、図２に示した構成に限られず、後述する情報処理を行うことができる構成であれば他の構成であってもよい。また、制御部１３が有する各処理部の接続関係は、図２に示した接続関係に限られず、他の接続関係であってもよい。たとえば図２では、１つの制御部１３を示しているが、医療ビッグデータシステム２の環境下および分析システム３の環境下のそれぞれで動作する２つの制御部を備えることとし、かかる２つの制御部がたとえばバス通信等によって情報のやり取りを行うようにしてもよい。

制御部１３は、個人情報を含む医療ビッグデータを抽出し、個人情報を所定のカテゴリに分類するとともに、かかるカテゴリごとで予め設定された規則性に基づいて個人情報から個人が一意に特定されないようにデータを加工する。

抽出部１３ａは、通信インタフェース１１を介して医療ビッグデータシステム２から分析用の医療ビッグデータを抽出する。また、抽出部１３ａは、抽出した医療ビッグデータを加工部１３ｂへ渡す。

加工部１３ｂは、抽出部１３ａから加工前のデータを受け取り、匿名加工を施す。ここで、加工部１３ｂの構成例についてより具体的に説明する。図３は、加工部１３ｂのブロック図である。

図３に示すように、加工部１３ｂは、分類加工部１３ｂａと、レアデータ削除部１３ｂｂと、分断暗号化部１３ｂｃとを有する。分類加工部１３ｂａは、医療ビッグデータシステム２の環境下において機能する。レアデータ削除部１３ｂｂおよび分断暗号化部１３ｂｃは、分析システム３の環境下において機能する。

分類加工部１３ｂａは、加工前のデータに含まれる個人情報を所定のカテゴリに分類するとともに、かかるカテゴリごとで予め設定された規則性に基づいて個人情報から個人が一意に特定されないようにデータを加工する。

レアデータ削除部１３ｂｂは、レアデータ、すなわち希少データを削除する。たとえばレアデータ削除部１３ｂｂは、加工前のデータを、抽出した医療ビッグデータを母集団とする統計学上の標本とした場合に、標本数が所定値以下であるものを削除する。

分断暗号化部１３ｂｃは、カラム単位で構成された加工後のデータを任意のカラムのまとまりで分断し、分断されたまとまりごとで異なる暗号化処理を施す。

ここで、加工部１３ｂが実行する加工処理の具体例について、図４～図８を用いて説明する。図４～図８は、加工処理の具体例を示す図（その１）～（その５）である。

図４には、加工前のデータの１レコード分の一例を示している。図４に示すように、かかる１レコード分には、「患者番号」、「被保険者番号」、「氏名」、「年齢」、「性別」、「住所」、「傷病名」および「検査値」がそれぞれ格納される個人情報項目が含まれているものとする。なお、図示していないが、「マイナンバー」が含まれてもよい。

分類加工部１３ｂａは、これら個人情報項目から個人特定に繋がる要素の加工を行う。具体的には、分類加工部１３ｂａは、これら個人情報項目をたとえば「識別子」、「属性」および「履歴」の各カテゴリに分類する。

図４の例では、「識別子」カテゴリには、「患者番号」、「被保険者番号」、「マイナンバー」および「氏名」が含まれることとなる。また、「属性」カテゴリには、「年齢」、「性別」および「住所」が含まれることとなる。また、「履歴」カテゴリには、「傷病名」および「検査値」が含まれることとなる。

そして、分類加工部１３ｂａは、かかるカテゴリごとで予め設定されたルールに基づいて個人情報から個人が一意に特定されないようにデータを加工する。具体的には、図５に示すように、分類加工部１３ｂａは、「識別子」カテゴリに分類された個人情報項目については、項目自体を削除する。

また、分類加工部１３ｂａは、「属性」カテゴリに分類された個人情報項目については、個人が一意に特定されない内容へ書き換えるか、または、分析用として不要であれば削除する。

また、分類加工部１３ｂａは、「履歴」カテゴリに分類された個人情報項目については、特異値に配慮して利用するか、または、分析用として不要であれば削除する。特異値に配慮して利用とは、たとえば丸め等によって端数処理を行うなどして、分析用として影響がない範囲で言わば目立たくなくする。なお、かかる端数処理は、「属性」カテゴリに対し適用してもよい。

このようなルールに従って分類加工部１３ｂａが匿名加工を行った例を図６に示す。図６の上段には、医療ビッグデータシステム２の種々のＤＢに存在する各種データを、中段には分類加工部１３ｂａが加工中のデータを、下段には分類加工部１３ｂａが加工した加工後のデータをそれぞれ示している。

図６の上段に示すように、医療ビッグデータシステム２の種々のＤＢには、たとえば「患者番号」や「被保険者番号」といった、個人を一意に特定可能な項目を含んだ各種データが保持されている。

分類加工部１３ｂａは、これら種々のＤＢからそれぞれ抽出された各種データをマッチングし、図６の中段に示すように、個人ごとのレコードとしてまとめ上げる。このとき、各レコードを識別するＩＤとして、たとえば「仮ＩＤ」が割り当てられる。

そして、分類加工部１３ｂａは、かかるレコードのそれぞれを、上述したルールに沿って、図６の下段に示すように加工する。

図６の下段に示す例では、たとえば「識別子」カテゴリに分類された「患者番号」、「被保険者番号」、「マイナンバー」および「氏名」は、加工後には、個人が一意に特定されないように削除されたことが分かる。

また、「属性」カテゴリの「年齢」は、加工後にはたとえば端数処理が行われたことが分かる。また、同カテゴリの「性別」は、元々が個人を一意に特定する内容ではないので、そのままとされたことが分かる。また、同カテゴリの「住所」は、分析用として不要であることから削除されたことが分かる。

また、「履歴」カテゴリの「傷病名」は、個人を一意に特定する可能性が薄いので、そのままとされたことが分かる。なお、難病等で罹患者数がきわめて少なく、個人が特定される可能性があるケースは、次のレアデータ削除で処置する。

また、「履歴」カテゴリの「検査値」は、加工後にはたとえば端数処理が行われ、分析用として影響がない範囲で目立たなくされたことが分かる。

また、加工中において各レコードに割り当てられた「仮ＩＤ」は、個人を特定する可能性を含むことから、最終的にはやはり削除されたことが分かる。このように、分類加工部１３ｂａは、カテゴリごとで予め設定された規則性に基づいて個人情報から個人が一意に特定されないようにデータを加工し、分析システム３側へ受け渡すこととなる。したがって、分析システム３が分類加工部１３ｂａから加工後のデータを受け取った際には、少なくとも明らかに個人を一意に特定する可能性のある項目は排除されている。

そのうえで、レアデータ削除部１３ｂｂは、上記したようにレアデータを削除する。たとえば、図７に示すように、レアデータ削除部１３ｂｂは、分類加工部１３ｂａから受け取った全データを母集団とする各データの正規分布をとり、かかる正規分布における標準偏差２σ以上に該当するデータ（図中のＭ１部参照）を削除する。

なお、かかる正規分布において標準偏差によって正規化される連続的な変数は、「傷病名」や「検査値」、「地域」、「処方薬」等、あらゆる要素を用いることができる。したがって、こうした要素の総当たりでそれぞれ正規分布をとり、正規分布ごとでレアデータに該当するデータを削除してよい。

このようなレアデータ削除を行うことにより、たとえば罹患者数が少ない傷病や、きわめて特異な検査値、局所的にある傷病が流行した地域、特殊な処方薬等によって個人が特定されてしまうリスクを軽減することができる。なお、図７の例では標準偏差２σ以上としたが、あくまで一例であって、レアデータを判定する基準を限定するものではない。

また、分断暗号化部１３ｂｃは、上記したように、カラム単位で構成された加工後のデータを任意のカラムのまとまりで分断し、分断されたまとまりごとで異なる暗号化処理を施す。

具体的には、分断暗号化部１３ｂｃは、図８に示すように、たとえば加工後のデータがカラムａ～ｉの単位で構成されている場合に、匿名加工装置１０を利用する管理者といったユーザの指示に基づき、一例としてカラムａ，ｄ，ｇ、カラムｂ，ｅ，ｈおよびカラムｃ，ｆ，ｉのまとまりで分断する。そのうえで、分断暗号化部１３ｂｃは、分断されたカラムａ，ｄ，ｇ、カラムｂ，ｅ，ｈおよびカラムｃ，ｆ，ｉのまとまりごとで、暗号化＃１，＃２，＃３として示す異なる暗号化処理を施す。異なる暗号化処理は、たとえばＡＥＳ（Advanced Encryption Standard）を用いたそれぞれ異なる複合キーによる暗号化処理である。

このような分断暗号化を行うことにより、データ通信時におけるデータ流出およびその悪用を防止することができる。

図３の説明に戻り、つづいて出力部１３ｃについて説明する。出力部１３ｃは、加工データＤＢ１２ａに格納された加工後のデータを、通信インタフェース１１を介して分析サーバ２０へ出力する。

分析サーバ２０は、通信インタフェース２１と、記憶部２２と、制御部２３とを有する。なお、分析サーバ２０は、匿名加工装置１０と同様に、分析サーバ２０を利用する管理者等から各種操作を受け付ける入力部や、各種情報を表示するための表示部を有してもよい。

通信インタフェース２１は、通信インタフェース１１と同様に、たとえばＮＩＣ（Network Interface Card）等によって実現される。通信インタフェース２１は、セキュア環境内のネットワークを通じて匿名加工装置１０と有線または無線で接続され、匿名加工装置１０との間で情報の送受信を行う。また、通信インタフェース２１は、ネットワークＮと有線または無線で接続され、ネットワークＮを介して、図示略のユーザ端末３０との間で情報の送受信を行う。

記憶部２２は、記憶部１２と同様の記憶装置によって実現され、図２の例では、記憶部２２は、学習モデル２２ａを記憶する。

制御部２３は、制御部１３と同様にコントローラであり、取得部２３ａと、生成部２３ｂと、提供部２３ｃとを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部２３の内部構成は、図２に示した構成に限られず、後述する情報処理を行うことができる構成であれば他の構成であってもよい。また、制御部２３が有する各処理部の接続関係は、図２に示した接続関係に限られず、他の接続関係であってもよい。

制御部２３は、匿名加工装置１０によって加工されたデータに基づく機械学習により学習モデル２２ａを生成し、生成された学習モデル２２ａをクラウドサービスとして提供する。

取得部２３ａは、匿名加工装置１０から、ネットワークＮを介して匿名加工後のデータを取得する。また、取得部２３ａは、取得した加工後のデータを生成部２３ｂへ渡す。

生成部２３ｂは、受け取った加工後のデータを用いて機械学習を実行し、学習モデル２２ａを生成する。また、生成部２３ｂは、生成した学習モデル２２ａを記憶部２２に記憶させる。

提供部２３ｃは、生成部２３ｂによって生成された学習モデル２２ａを、ネットワークＮを介したクラウドサービスとして、図示略のユーザ端末３０へ提供する。

次に、実施形態に係る情報提供システム１が実行する処理手順について図９を用いて説明する。図９は、実施形態に係る情報提供システム１が実行する処理手順を示すフローチャートである。

図９に示すように、匿名加工装置１０の抽出部１３ａが、個人情報を含む医療ビッグデータを抽出する（ステップＳ１０１）。そして、匿名加工装置１０の加工部１３ｂが、抽出されたデータにつき、個人情報を所定のカテゴリに分類するとともに、カテゴリごとのルールに基づいて匿名加工を行う（ステップＳ１０２）。

つづいて、分析サーバ２０の生成部２３ｂが、匿名加工装置１０によって加工されたデータに基づく機械学習により学習モデル２２ａを生成する（ステップＳ１０３）。そして、分析サーバ２０の提供部２３ｃが、生成された学習モデル２２ａをクラウドサービスとして提供し（ステップＳ１０４）、処理を終了する。

上述してきた実施形態に係る匿名加工装置１０や分析サーバ２０、ユーザ端末３０は、たとえば図１０に示すような構成のコンピュータ６０によって実現される。以下、匿名加工装置１０を例に挙げて説明する。図１０は、匿名加工装置１０の機能を実現するコンピュータの一例を示すハードウェア構成図である。コンピュータ６０は、ＣＰＵ（Central Processing Unit）６１、ＲＡＭ（Random Access Memory）６２、ＲＯＭ（Read Only Memory）６３、ＨＤＤ（Hard Disk Drive）６４、通信インタフェース（Ｉ／Ｆ）６５、入出力インタフェース（Ｉ／Ｆ）６６、およびメディアインタフェース（Ｉ／Ｆ）６７を備える。

ＣＰＵ６１は、ＲＯＭ６３またはＨＤＤ６４に格納されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ６３は、コンピュータ６０の起動時にＣＰＵ６１によって実行されるブートプログラムや、コンピュータ６０のハードウェアに依存するプログラム等を格納する。

ＨＤＤ６４は、ＣＰＵ６１によって実行されるプログラムおよび当該プログラムによって使用されるデータ等を格納する。通信インタフェース６５は、通信ネットワーク（たとえば分析システム３内のネットワークに対応）を介して他の機器からデータを受信してＣＰＵ６１へ送り、ＣＰＵ６１が生成したデータを、通信ネットワークを介して他の機器へ送信する。

ＣＰＵ６１は、入出力インタフェース６６を介して、ディスプレイやプリンタ等の出力装置、および、キーボードやマウス等の入力装置を制御する。ＣＰＵ６１は、入出力インタフェース６６を介して、入力装置からデータを取得する。また、ＣＰＵ６１は、生成したデータを、入出力インタフェース６６を介して出力装置へ出力する。

メディアインタフェース６７は、記録媒体６８に格納されたプログラムまたはデータを読み取り、ＲＡＭ６２を介してＣＰＵ６１に提供する。ＣＰＵ６１は、当該プログラムを、メディアインタフェース６７を介して記録媒体６８からＲＡＭ６２上にロードし、ロードしたプログラムを実行する。記録媒体６８は、たとえばＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto-Optical disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。

たとえば、コンピュータ６０が実施形態に係る匿名加工装置１０として機能する場合、コンピュータ６０のＣＰＵ６１は、ＲＡＭ６２上にロードされたプログラムを実行することにより、制御部１３の各機能を実現する。また、ＨＤＤ６４には、記憶部１２内のデータが記憶される。コンピュータ６０のＣＰＵ６１は、これらのプログラムを、記録媒体６８から読み取って実行するが、他の例として、他の装置から、通信ネットワークを介してこれらのプログラムを取得してもよい。

上述してきたように、実施形態に係る情報提供システム１は、匿名加工装置１０（「情報秘匿化装置」の一例に相当）を備える。匿名加工装置１０は、抽出部１３ａと、加工部１３ｂとを備える。抽出部１３ａは、個人情報を含むデータのデータ群を抽出する。加工部１３ｂは、抽出されたデータの個人情報を所定のカテゴリに分類するとともに、かかるカテゴリごとで予め設定された規則性に基づいて個人情報から個人が一意に特定されないように上記データを加工する。

したがって、実施形態に係る匿名加工装置１０によれば、個人の権利利益の保護を図りつつ、個人情報を有効に活用することを可能にすることができる。

（その他の実施形態）
上述した実施形態では、ビッグデータが医療ビッグデータである場合を例に挙げて説明したが、無論、実施形態の適用分野を限定するものではない。すなわち、個人情報を含むものであれば、種々の分野のビッグデータを利用することができる。

また、上述した実施形態では、分析サーバ２０が機械学習による分析を行うこととし、機械学習のアルゴリズムとしてディープラーニングを用いるものとしたが、用いるアルゴリズムを限定するものではない。したがって、ＳＶＭ（Support Vector Machine）のようなパターン識別器を用いたサポートベクタ回帰等の回帰分析手法により機械学習を実行し、学習モデル２２ａを生成してもよい。また、ここで、パターン識別器はＳＶＭに限らず、たとえばアダブースト（AdaBoost）などであってもよい。また、ランダムフォレストなどを用いてもよい。

また、上述した匿名加工装置１０は、分類加工処理を行う第１加工装置と、レアデータ削除処理および分断暗号化処理を行う第２加工装置とが分離されてもよい。この場合、第１加工装置は、少なくとも分類加工部１３ｂａを有し、たとえば医療ビッグデータシステムに設けられる。第２加工装置は、少なくともレアデータ削除部１３ｂｂおよび分断暗号化部１３ｂｃを有し、分析システム３に設けられる。そして、上記の匿名加工装置１０による処理は、第１加工装置と、第２加工装置との各装置を含む情報提供システム１によって実現される。

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

１ 情報提供システム
２ 医療ビッグデータシステム
３ 分析システム
１０ 匿名加工装置
１１ 通信インタフェース
１２ 記憶部
１３ 制御部
１３ａ 抽出部
１３ｂ 加工部
１３ｂａ 分類加工部
１３ｂｂ レアデータ削除部
１３ｂｃ 分断暗号化部
１３ｃ 出力部
２０ 分析サーバ
２１ 通信インタフェース
２２ 記憶部
２２ａ 学習モデル
２３ 制御部
２３ａ 取得部
２３ｂ 生成部
２３ｃ 提供部

Claims (9)

1. コンピュータが実行する情報秘匿化方法であって、
   個人情報を含むデータのデータ群を抽出する抽出工程と、
   前記個人情報を少なくとも個人の識別子を含む所定のカテゴリに分類するとともに、該カテゴリごとで予め設定された規則性に基づいて前記個人情報から前記個人が一意に特定されないように前記データを加工する加工工程と
   を含み、
   加工後の前記データは、カラム単位で構成されており、
   前記加工工程は、
   前記データから少なくとも前記識別子に分類される前記個人情報を削除する加工を行い、加工後の前記データを任意のカラムのまとまりで分断し、分断されたまとまりごとで異なる暗号化処理を施す
   ことを特徴とする情報秘匿化方法。
2. 前記加工工程は、
   少なくとも前記個人情報を、前記識別子、前記個人の属性および前記個人に関する履歴に分類する
   ことを特徴とする請求項１に記載の情報秘匿化方法。
3. 前記加工工程は、
   前記属性に分類される前記個人情報を、前記個人が一意に特定されない内容へ書き換えるか、または、削除する
   ことを特徴とする請求項２に記載の情報秘匿化方法。
4. 前記加工工程は、
   前記履歴に分類される前記個人情報を、特異値を示さないように書き換えるか、または、削除する
   ことを特徴とする請求項２または３に記載の情報秘匿化方法。
5. 前記加工工程は、
   前記データを、前記データ群を母集団とする統計学上の標本とした場合に、標本数が所定値以下である前記データを削除する
   ことを特徴とする請求項１～４のいずれか一つに記載の情報秘匿化方法。
6. 前記加工工程は、
   前記データの正規分布における標準偏差２σ以上に該当する前記データを削除する
   ことを特徴とする請求項５に記載の情報秘匿化方法。
7. 個人情報を含むデータのデータ群を抽出する抽出手順と、
   前記個人情報を少なくとも個人の識別子を含む所定のカテゴリに分類するとともに、該カテゴリごとで予め設定された規則性に基づいて前記個人情報から前記個人が一意に特定されないように前記データを加工する加工手順と
   をコンピュータに実行させ、
   加工後の前記データは、カラム単位で構成されており、
   前記加工手順は、
   前記データから少なくとも前記識別子に分類される前記個人情報を削除する加工を行い、加工後の前記データを任意のカラムのまとまりで分断し、分断されたまとまりごとで異なる暗号化処理を施す
   ことを特徴とする情報秘匿化プログラム。
8. 個人情報を含むデータのデータ群を抽出する抽出部と、
   前記個人情報を少なくとも個人の識別子を含む所定のカテゴリに分類するとともに、該カテゴリごとで予め設定された規則性に基づいて前記個人情報から前記個人が一意に特定されないように前記データを加工する加工部と
   を備え、
   加工後の前記データは、カラム単位で構成されており、
   前記加工部は、
   前記データから少なくとも前記識別子に分類される前記個人情報を削除する加工を行い、加工後の前記データを任意のカラムのまとまりで分断し、分断されたまとまりごとで異なる暗号化処理を施す
   ことを特徴とする情報秘匿化装置。
9. 請求項８に記載の情報秘匿化装置と、
   前記情報秘匿化装置と通信可能に接続されるサーバ装置と
   を備え、
   前記情報秘匿化装置は、
   ビッグデータから前記データ群を抽出し、
   前記サーバ装置は、
   前記情報秘匿化装置によって加工された前記データに基づく機械学習により学習モデルを生成する生成部と、
   前記生成部によって生成された前記学習モデルをクラウドサービスとして提供する提供部と
   を備えることを特徴とする情報提供システム。

Images