JP7242407B2 - 匿名加工システム、匿名加工プログラム及び匿名加工方法 - Google Patents

Description

本発明は、匿名加工技術に関する。

特許文献１に開示されたプライバシー保護装置は、データ利用者に提供するテーブルの加工時にそのテーブルを構成する各属性に対して重み（重要度）を設定し、特殊な関数を用いて加工したテーブルを評価することで、データ利用者が求める情報を可能な限り保持する、と記されている。

特開２０１６－１８３７９号公報

分析有用性を満足することなく匿名加工されたデータを用いた分析では、分析に必要な精度のデータが含まれていない可能性があり、意味のある分析ができなくなることがある。その結果、一旦出力されたデータを破棄し、元データから再度、匿名加工処理を実施した後に、出力して再度分析するという手戻りが発生するため、分析効率が悪くなる。

特許文献１には匿名加工を行う技術について記載されているが、匿名加工されたデータに関して評価関数等による評価値が最大のテーブルを有用と判定するものであり、データの利用者にとっての分析有用性を満足するための対策を行うものではない。

本発明は、上記の点に鑑みてなされたものであって、匿名性と分析有用性を両立する匿名加工技術の提供を目的とする。

本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下の通りである。

上記課題の少なくとも一部を解決するため、本発明の一態様に係る匿名加工システムは、制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有し、前記記憶部は、属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、要求される匿名性を示す情報をさらに保持し、前記制御部は、前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算し、前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定し、前記提示部を介して、前記特定した属性の項目を提示し、前記許容される匿名加工の程度の変更を指示する情報が入力されると、入力された情報に従って匿名加工が実行された後のデータの匿名性を計算し、前記計算された匿名性が、前記要求される匿名性を満たさない場合に、前記許容される匿名加工の程度を変更する前記属性の項目を特定することを特徴とする。

本発明の一態様によれば、匿名性と分析有用性を両立する匿名加工を実現し、匿名加工済みのデータ出力の手戻りを削減することができる。

上記した以外の課題、構成、及び効果は、以下の実施形態の説明により明らかにされる。

本発明の実施形態における匿名加工システムの利用の流れの一例を示す図である。 本発明の実施形態における匿名加工システムの機能ブロックの一例を示す図である。 本発明の実施形態における匿名加工システムを利用する際の全体処理フローの一例を示す図である。 本発明の実施形態における匿名加工システムの匿名加工に関する主要フローの一例を示す図である。 本発明の実施形態における匿名加工システムの初期入力値に基づいた匿名加工に関する主要フローの一例を示す図である。 本発明の実施形態における匿名加工システムの匿名加工可能な属性に関して匿名加工度合を調整して匿名加工処理を行うフローの一例を示す図である。 本発明の実施形態における匿名加工システムの匿名加工不可な属性に関して匿名加工度合を調整して匿名加工処理を行うフローの一例を示す図である。 本発明の実施形態における匿名加工システムの属性設定画面の一例を示す図である。 本発明の実施形態における匿名加工システムの属性設定値に基づいた匿名加工の結果を表示する画面の一例を示す図である。 本発明の実施形態における匿名加工システムの匿名性を満足する匿名加工の候補を表示し、匿名加工許容レベルを変更すべき属性を推薦する画面の一例を示す図である。 本発明の実施形態における匿名加工システムの匿名加工レベルの変更を承諾する画面の一例である。 本発明の実施形態における匿名加工システムの匿名加工済みデータの出力画面の一例である。

以下、図面に基づいて本発明の実施形態の例を説明する。

図１は、本発明の実施形態における匿名加工システムの利用の流れの一例を示す図である。

匿名加工システム１に関わる主体としては、主にデータ提供機関１０１、データ保管機関１０２、データ加工機関１０３、及びデータ分析機関１０４がある。また、匿名加工システム１は、データの匿名加工処理を行い、匿名性と分析有用性を両立するデータを出力することを目的とする。以降、医療分野の例を挙げて説明するが、これに限るものではない。

データ提供機関１０１は、患者に関する診察データ及び検査データなどの健康医療情報を収集する機関であり、例えば病院又は検査機関などが想定されている。データ提供機関１０１が健康医療情報を収集した後は、後述のデータ保管機関１０２に送信する。

データ保管機関１０２は、データ提供機関１０１から送信された健康医療情報を保管しておき、後述するデータ分析機関１０４から健康医療情報の入手依頼を受けた際に、データ分析機関１０４が健康医療情報を二次利用できるように匿名加工処理を施して、データ分析機関１０４に出力する機関である。

データ加工機関１０３は、データ保管機関１０２からの指示を受けて、前記データ保管機関１０２にて保管されている健康医療情報の匿名加工処理を、匿名加工システム１を用いて代行する機関である。匿名加工システム１を直接利用する主体は、このデータ加工機関１０３に従事する者と想定されている。

データ分析機関１０４は、データ保管機関１０２に対して分析対象のデータの入手依頼を発行し、その後に入手した匿名加工済みの健康医療情報の分析を行う機関である。データ分析機関１０４としては、例えば、大学や民間企業の研究機関等が想定されている。データ分析機関１０４に従事する者は直接匿名加工システム１を操作することはないと想定される。

図２は、本発明の実施形態における匿名加工システム１の機能ブロックの一例を示す図である。

匿名加工システム１は、制御部２００、記憶部２０１、提示部２０２、入力部２０３、データ出力部２０４、データ読出部２０５、属性設定部２０６、匿名加工部２０７、匿名性算出部２０８、属性特定部２０９、テーブル候補生成部２１０、テーブル候補選択部２１１、及び履歴検索部２１２からなる、ＰＣ（パーソナルコンピュータ）又はサーバコンピュータ等の情報処理装置である。

制御部２００は、後述する記憶部２０１に格納されているデータに対して匿名加工処理等を実行するための匿名加工システム１全体の制御を行う。

記憶部２０１は、例えばハードディスクドライブ又は半導体記憶装置などの記憶装置であり、データ提供機関１０１から受信した健康医療情報を記憶するデータベースなどを格納する。この健康医療情報とは、データ提供機関１０１で作成した診療データ及び検査データ等の情報である。

提示部２０２は、匿名加工システム１の利用者に対して、健康医療情報のデータベース、匿名加工候補、匿名加工済みのテーブル及びレコードなどの情報を提示し、利用者の意思選択を促すためのディスプレイ等である。

入力部２０３は、匿名加工システム１の利用者がデータ分析機関１０４の分析要望の具体的な条件を入力したり、変更したりするためのキーボード、マウス又はタッチパネル等である。

データ出力部２０４は、匿名加工システム１にて匿名加工されて匿名性指標を満たしたテーブルをデータ分析機関１０４に対して出力する。データ出力部２０４は、例えば、取り外しが可能な記憶メディア等に書き出すことが可能なリーダライタデバイス、又は、外部との通信が可能なネットワークアダプタ等でもよい。

データ読出部２０５は、記憶部２０１に格納されている健康医療情報を読み出し、利用者が健康医療情報を利用できるようにする機能を持つ。このとき、データ読出部２０５は、検索条件及び利用者に関する登録情報等が入力された場合には、それらの情報に基づいて所望の健康医療情報を絞り込んでから読み出してもよいし、データベース全件を記憶部２０１から読み出してから絞り込んでもよい。

属性設定部２０６は、記憶部２０１に格納されている健康医療情報などのデータベースの属性に関して、入手希望属性、匿名加工許容レベル、及び属性の相対的重要度を、入力部を介して設定する機能を有する。属性設定の際は、提示部２０２が属性のリストを提示し、匿名加工システム１の利用者（例えばデータ加工機関１０３）が各属性について入手希望属性を指定する情報を入力部２０３に入力する。以下に説明する入手希望属性、匿名加工許容レベル及び属性の相対的重要度の設定は、利用者が入力部２０３を介して入力した情報に基づいて属性設定部２０６が実行する。

なお、これらの設定の内容は匿名加工後のデータの分析有用性に影響を与える。このため、例えばデータ加工機関１０３がこれらの設定を行う場合には、データ分析機関１０４の意見を参考にしてもよいし、データ分析機関１０４自身がこれらの設定を行ってもよい。データ加工機関１０３が行う他の処理についても同様に、必要に応じてデータ分析機関１０４が関与する場合がある。

まず、入手希望属性の設定の際には、属性設定部２０６は、その属性値に関して、例えば入手必須、入手任意、又は不要等のいずれかを指定する。ただし、テーブル内の属性数が多い場合には、利用者が全ての属性に関して入力するのは時間を要するため、入手希望属性を指定する際のデフォルト値は、すべて入手必須か、又は不要にプリセットしておき、プリセットされた値を変更する必要がある場合に利用者が入力してもよい。

次に、匿名加工許容レベルを設定する際には、属性設定部２０６は、入手希望属性にて入手必須、又は入手任意と指定した各属性に関して匿名加工の許容度合を指定する。例えば、属性設定部２０６は、利用者からの入力に従って、匿名加工不可、匿名加工可能、削除可能などを指定する。

なお、ある属性に関して匿名加工可能を指定する場合は、属性設定部２０６は、その属性のデータ型に応じて詳細の匿名加工許容レベルを指定してもよい。例えば、属性設定部２０６は、文字列型の属性値をもつ属性に関しては、匿名加工前の文字列に関する情報量を基準として、匿名加工後の残存情報量の比率、又は、エントロピー等を用いた加工度合を指定してもよい。また、数値型であれば、匿名加工後に残す有効桁数などを指定してもよい。

そして、属性の相対的重要度を設定する際は、入手希望属性にて入手必須又は入手任意と指定した入手希望属性群のうちの２つの属性に関して、利用者が入力部２０３を用いて一対比較値をそれぞれ入力し、それを属性設定部２０６が相対的重要度として設定してもよい。ただし、この方法では属性数が増加すると入力の手間が増えるため、単に入手希望属性群の中で相対的な重要度を示す順位を入力してもよい。この重要度の指定方法は特に限定されるものではなく、結果的に入手希望属性群内における順位が確定していればよい。

匿名加工部２０７は、属性設定部２０６において設定された加工可能属性及び削除可能属性に関して、実際に属性値の一般化処理等の匿名加工処理を行う。それに加え、匿名加工部２０７は、後述するテーブル候補生成部２１０において、利用者に対して匿名加工されたテーブルの候補を算出する場合には、加工不可属性に関しても匿名加工処理を試行することもある。

匿名性算出部２０８は、匿名加工部２０７にて算出された匿名加工されたテーブルに対して、テーブルに残存するデータから既定数ｋ以下に個人を特定できないかどうかを判定する。例えば、匿名性算出部２０８は、そのテーブルに同一の属性値をもつレコードが既定数ｋ以上の数が存在するかどうかを確認するｋ－匿名性等の指標を用いて判定する。

なお、この判定において、匿名加工されたテーブルの匿名性が、既定の匿名性指標を大幅に上回っている場合には、属性設定部２０６で入力した設定が厳しすぎた可能性がある。このため、匿名性算出部２０８は、分析有用性の向上を目的として、匿名性を低下させる処理を匿名加工部２０７に指示してもよい。また、匿名性判定の算出値と、属性設定部２０６にて入力した設定値とを関連付けて、加工履歴として記憶部２０１に格納することもできる。

属性特定部２０９は、匿名性算出部２０８にて匿名性が指標を満たさないと判定された場合に、匿名性を満たせない阻害要因となっている属性を特定する処理を行う。例えば、後述するテーブル候補生成部２１０にて生成したテーブル候補に関して、既定の匿名性指標を満足できるかどうかを判定する。このとき、指標を満足できた場合には、属性特定部２０９は、匿名加工度合を緩和した（すなわち匿名加工度合を匿名性が低下する方向に変更した）緩和推奨属性群を特定する。

テーブル候補生成部２１０は、属性設定部２０６が属性間の相対的な重要度等を入力し、入手希望属性群内における順位を確定した後に、重要度が下位の属性から順に匿名加工度合を緩和して匿名加工処理を試行して、テーブル候補を作成する。また、テーブル候補生成部２１０は、属性設定部２０６にて加工不可属性と指定された属性に関しても、匿名加工処理を試行し、テーブル候補を作成する。

テーブル候補選択部２１１は、属性特定部２０９にて特定された緩和推奨属性群と、テーブル候補生成部２１０にて生成されたテーブル候補との組み合わせを、提示部２０２を介して利用者に提示し、利用者に対して分析有用性を考慮した選択を促す。利用者は入力部２０３等を介してテーブル候補を選択する。

さらに、属性設定部２０６にて入力した属性が緩和推奨属性群に含まれる場合は、利用者に対して提示部２０２を介して提示し、選択した匿名加工済みのテーブル候補に関する匿名加工条件は、当初入力した匿名加工条件と異なっていることを確認させる通知を行なって、入力部２０３を介して承諾を得てもよい。

履歴検索部２１２は、属性設定部２０６で入力された設定値と、匿名性算出部２０８が算出した匿名性判定の結果値とを関連付けて記憶している記憶部２０１から、入力部２０３を介して入力されたキーワード及び入手希望属性などの検索条件に合う加工履歴を検索して、提示部２０２を介して匿名性判定の結果値と、入手希望属性及び匿名加工許容レベルなどの加工履歴を提示することができる。ただし、ここで検索されることが適さないデータの場合は、登録時に検索対象除外の設定を行うことで加工履歴として提示しないこともできる。

なお、匿名加工システム１の機能（例えば上記のデータ読出部２０５～履歴検索部２１２の機能）は、制御部２００が記憶部２０１に格納されたプログラムに従って、必要に乗じて提示部２０２、入力部２０３及びデータ出力部２０４等を制御することによって実行される。この場合、データ読出部２０５～履歴検索部２１２が記憶部２０１に格納されたプログラムであると考えてもよい。

図３は、本発明の実施形態における匿名加工システム１を利用する際の全体処理フローの一例を示す図である。

データ提供機関１０１は加工前の生データを保管しており、そのデータを編集及び匿名加工する機能は、匿名加工システム１として、生データにアクセスできるデータ保管機関１０２側にある想定で説明する。なお、データ加工機関１０３側は匿名加工前のデータを保持せず、匿名加工後のデータのみ保持できる想定で説明するが、データ加工機関１０３はデータ保管機関１０２の内部機関であるため、匿名加工及びその前後にある処理は、厳密には匿名加工システム１及びデータ加工機関１０３のどちらで実行しても構わない。

ステップＳ３０１では、データ提供機関１０１が発行した患者に関する診療データ及び検査データをデータ保管機関１０２に継続的に送信し、データ保管機関１０２は受診した上記のデータを記憶部２０１に継続的に蓄積する。

ステップＳ３０２では、データ分析機関１０４が、データ保管機関１０２が有するデータベースの出力要求を行う。

ステップＳ３０３では、データ保管機関１０２又はデータ加工機関１０３が、データ分析機関１０４から得た分析要求から、次以降のステップで、データの検索条件、テーブルの属性に関する入手要望及び各属性に関する匿名加工要望等を明確化（又は詳細化）する。

ステップＳ３０４では、データ加工機関１０３は、詳細化された分析要求に応じて、まず記憶部２０１に格納されているデータベースに対して検索条件を入力する。

ステップＳ３０５では、匿名加工システム１のデータ読出部２０５が、入力された検索条件に基づいて所望のデータセットを記憶部２０１から抽出する。このとき、データ保管機関１０２からデータ加工機関１０３にこの抽出データを渡してもよい。

ステップＳ３０６では、データ加工機関１０３が、詳細化された分析要求に基づき、そのテーブルを構成する各属性に関して入手希望属性、匿名加工許容レベル及び相対的重要度を入力し、設定する。このとき、履歴検索部２１２は記憶部２０１から設定された条件に合う加工履歴を検索し、加工例を提示部２０２に表示してもよい。

ステップＳ３０７では、匿名加工システム１が、データ加工機関１０３から入力された検索条件に基づいて抽出したテーブルに対して匿名加工処理を行う。あるいは、匿名加工システム１が抽出されたテーブルをデータ加工機関１０３に渡して、データ加工機関１０３が匿名加工処理を行ってもよい。

ステップＳ３０８では、匿名加工システム１が匿名加工処理を行なったテーブルについて既定の匿名性指標を満足しているか判定する。匿名性指標を満たさないテーブルについては、匿名加工システム１は、属性設定の緩和を試行し、匿名性を満たすように属性設定の緩和を促す。このとき、匿名加工システム１は、属性設定の値と匿名性の算出値を記憶部２０１に格納して、後ほど検索できるようにしてもよい。また、匿名性判定はデータ加工機関１０３で行ってもよい。

ステップＳ３０９では、匿名加工済みで匿名性指標を満足しているテーブル、又は、テーブルの一部のデータセットもしくはレコードを、少なくとも一つ以上のデータ加工機関１０３がデータ保管機関１０２から受信する。また、データ保管機関１０２からデータベースのコピーをデータ加工機関１０３が受信しておき、それに対して匿名加工するという順序で処理が実行されてもよい。

ステップＳ３１０では、データ加工機関１０３が、匿名加工システム１から受信したテーブル、データセット又はレコードを提示し、それに分析有用性があるかどうかを判断する。その結果、分析有用性が無い場合は、Ｓ３０６に戻って属性設定の変更を行うか、匿名加工システム１から変更すべき属性の推薦を受ける。一方、分析有用性があると判断した場合は、ステップＳ３１１に進む。これらの分析有用性判断は、その判断を人間が実施したほうが効率や精度が良い間は人間が行なえばよいが、自動化してもよい。例えばデータ加工機関１０３は匿名加工システム１から受信した情報の少なくとも一部をデータ分析機関１０４に提示して、データ分析機関１０４の意見に基づいて分析有用性を判断してもよい。

ステップＳ３１１では、データ加工機関１０３は、匿名加工システム１が匿名性と分析有用性を両立したテーブルの出力を行うようにデータ保管機関１０２に依頼する。

ステップＳ３１２では、データ保管機関１０２はデータ分析機関１０４に対してデータを出力する。そのデータはデータ分析機関１０４によって分析される。

図４は、本発明の実施形態における匿名加工システム１の匿名加工に関する主要フローの一例を示す図である。

ステップＳ４０１では、図３のステップＳ３０４で示したように、データ分析機関１０４の詳細要望に関する検索条件が匿名加工システム１に入力される。例えば、主疾病名属性には「肺炎」、投薬コード属性にはある薬のコードを入力するなどして、健康医療情報のデータベースから分析に要する所望のデータセットが抽出される。

ステップＳ４０２では、匿名加工システム１は、ステップＳ４０１で入力された初期入力値に基づいて、匿名加工処理を行う。この処理の詳細フローは図５にて示す。

ステップＳ４０３では、匿名加工システム１は、前記匿名加工処理後のテーブルに関して、匿名性指標の判定処理を行う。もし指標を満足している場合は、ステップＳ４０７に進む。一方、満足していない場合は、ステップＳ４０４へ進む。このとき、匿名加工システム１は、図９に示す画面を提示して、匿名性に関する判定結果を通知する。

ステップＳ４０４では、匿名加工システム１は、ステップＳ４０２で入力された属性設定において、加工可能属性と指定された属性について、重要度を考慮して匿名加工条件の変更を試行する。この処理の詳細フローは図６に示す。

次に、匿名加工システム１は、ステップＳ４０４の処理に成功したかを判定する（ステップＳ４０８）。例えば、ステップＳ４０４の処理の結果、加工可能属性のみを対象とする匿名加工条件の変更であって、匿名性が所定の条件を満たし、かつ、分析有用性がある変更の候補が生成された場合、ステップＳ４０４の処理に成功したと判定される。ステップＳ４０４の処理に成功した場合（ステップＳ４０８：Ｙｅｓ）、匿名加工システム１は、次のステップＳ４０５を実行せずにステップＳ４０６に進む。ステップＳ４０４の処理に失敗した場合（ステップＳ４０８：Ｎｏ）、匿名加工システム１はステップＳ４０５を実行する。

ステップＳ４０５では、匿名加工システム１は、ステップＳ４０２で入力された属性設定において、加工不可属性と指定された属性について、重要度も考慮して匿名加条件の緩和を試行する。この処理の詳細フローは図７に示す。

ステップＳ４０６では、匿名加工システム１は、それまでに匿名加工された加工例を提示して、それが分析有用性を満たすかどうかを判断する。この分析有用性の判断処理は、その判断を人間が実施したほうが効率や精度が良い間は人間が行なえばよいが、自動化してもよい。

例えば、匿名加工システム１は、それまでに匿名加工された加工例を、提示部２０２を介してデータ加工機関１０３に提示して、データ加工機関１０３が入力部２０３を介して分析有用性の有無を示す情報を入力した場合に、その情報に従って分析有用性を判断してもよい。このとき、データ加工機関１０３は、必要に応じて、分析を行う当事者であるデータ分析機関１０４の意見を求めてもよい。

分析有用性がある場合は、ステップＳ４０７に進む。一方、分析有用性が無い場合は、匿名加工システム１は所定の終了条件が満たされるかを判定する（ステップＳ４０９）。終了条件はいかなるものであってもよいが、例えば、処理の繰り返しの回数が所定の回数を超えた場合、処理の実行時間が所定の時間を超えた場合、又は、利用者（例えばデータ加工機関）によって処理の終了の指示が入力された場合に、終了条件が満たされたと判定してもよい。終了条件が満たされた場合は（ステップＳ４０９：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合は（ステップＳ４０９：Ｎｏ）、ステップＳ４０４へ戻って、属性設定の再調整を行う。

ステップＳ４０７では、匿名加工システム１は、匿名性と分析有用性を両立したテーブルを匿名加工システム１から出力して、終了する。このとき、匿名加工システム１は、図１２に示す情報を提示部２０２に示してもよい。

図５は、本発明の実施形態における匿名加工システム１の初期入力値に基づいた匿名加工に関する主要フローの一例を示す図である。

ステップＳ５０１では、データ分析機関１０４の分析目的に応じて、データ加工機関１０３がテーブルを構成する属性群について、入手希望属性の選択が行われる。この処理は、匿名加工システム１の属性設定部２０６を介して行われる。例えば、匿名加工システム１は、各属性について入手必須、入手任意又は不要などを選択する。このとき、匿名加工システム１は、図８のような画面を、提示部２０２を介して提示してもよい。また、履歴検索部２１２が入力条件に合う加工履歴を記憶部２０１から読み出して提示してもよい。

ステップＳ５０２では、データ分析機関１０４の分析目的に応じて、入手希望属性として入手必須、入手任意に指定された各属性について、匿名加工許容度合が指定される。この指定は、データ加工機関１０３が匿名加工システム１の属性設定部２０６を介して行う。なお、この匿名加工許容度合としては、属性値のデータ型に応じて、属性値をどの程度加工してよいかの限度を指定することもできる。

ステップＳ５０３では、データ分析機関１０４の分析目的に応じて、入手希望属性として入手必須又は入手任意に指定された各属性間における相対的な重要度が入力される。この入力は、データ加工機関１０３が匿名加工システム１の属性設定部２０６を介して行う。ここで入力される値は、各属性間の一対比較値でもよいし、単に各属性を順位付けしたものでもよい。

ステップＳ５０４では、匿名加工システム１の匿名加工部２０７は、ステップ５０１から５０３に記載の属性設定部２０６を介して入力された、入手希望属性、匿名加工許容度合及び相対的重要度の設定値に基づいて、図４のステップＳ４０１にて読み出されたテーブルに対して匿名加工処理を行う。例えば、匿名加工部２０７は、属性値に対して一般化処理を行なって、そのレコードに関わる個人を特定できないようにする。

ステップＳ５０５では、匿名加工システム１の匿名加工部２０７が、匿名加工処理を施したテーブルについて既定の匿名性指標を満足するか判定する。例えば、ｋ－匿名性を指標として使い、ｋ＝３とする場合は、テーブルを構成する属性に関して、同一の属性値をもつレコードが３つ以上そのテーブルに存在するかどうかを判定する。ここで、もし匿名性が既に満たされている場合は（Ｓ５０５：Ｙｅｓ）、入力した条件を緩めて分析有用性を向上するために、匿名性を低下させる処理をステップＳ５０６にて行う。

一方、匿名性が満たされていない場合は（Ｓ５０５：Ｎｏ）、これらの入力条件で施した匿名加工済みのテーブルは匿名加工システム１の外部に出力できない状態であるため、このフローは終了して、匿名加工システム１は、匿名性を満足できる属性の加工条件を探索する。このとき、匿名加工システム１は、提示部２０２を介して図９に示す情報を提示して、匿名性判定の結果を示しても良い。

また、匿名加工システム１は、この匿名性判定の処理を、ステップＳ５０１乃至５０３で示す入力処理を全て完了した後に実行してもよいし、部分的に入力があった時点で都度実行してもよい。後者の場合、匿名加工システム１は、直前の入力が匿名性判定に与える影響を提示部２０２を介して提示して、属性設定の修正を促してもよい。

ステップＳ５０６では、匿名加工システム１は、各属性について入力された匿名加工許容度合を緩和して、直前の匿名加工処理によって作成された匿名化済みデータと比較して、残存情報を多く、かつ匿名性を満たす条件があるかどうかを探索する。もし解がある場合は、より多くの情報が残っていて分析有用性が高いと思われる匿名加工済みテーブルが、後続の前記分析有用性判断処理（Ｓ４０６）において選択候補として推薦される。

図６は、本発明の実施形態における匿名加工システム１の匿名加工可能な属性に関して匿名加工度合を調整して匿名加工処理を行うフローの一例を示す図である。

ステップＳ６０１では、匿名加工システム１は、属性設定部２０６を介して匿名加工許容度合が加工可能と指定された属性群を抽出する。

ステップＳ６０２では、匿名加工システム１の匿名加工部２０７は、属性設定部２０６を介して指定された各属性の重要度が下位の属性から順に匿名加工処理を施す。このとき、加工対象の属性は一つに限らず、重要度が下位の二つ以上の属性を組み合わせて、その属性値の組に対して匿名加工してもよい。ただし、計算の順序は、重要度によらなくてもよい。すなわち、必ずしも重要度が下位の属性を組み合わせたものについて優先して計算する必要はない。

ステップＳ６０３では、匿名加工システム１は、ステップ６０２にて匿名加工を施したテーブルに関して、匿名性を満足するか判定する。匿名性を満足する場合は（ステップＳ６０３：Ｙｅｓ）、ステップＳ６０４に進む。一方、匿名性を満足しない場合は（ステップＳ６０３：Ｎｏ）、匿名加工システム１は、所定の終了条件が満たされるかを判定する（ステップＳ６０８）。この終了条件はいかなるものであってもよいが、例えば図４のステップＳ４０９と同様のものであってもよい。

終了条件が満たされる場合（ステップＳ６０８：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合（ステップＳ６０８：Ｎｏ）、匿名加工対象の属性の変更又は属性の組み合わせの変更を行うためにステップＳ６０２に戻る。

ステップＳ６０４では、匿名加工システム１は、ステップＳ６０３にて匿名性を満足したテーブルを提示部２０２に表示する。このとき、過去の匿名性判定処理にて匿名性を満足したテーブル候補を複数表示してそれらのいずれかを選択できるようにするために、図１０のような画面を提示部２０２を介して提示してもよい。

ステップＳ６０５では、匿名加工システム１は、ステップＳ６０３において匿名性を満足すると判定した場合に、属性設定部２０６を介して入力した当初の匿名加工条件と異なっていることを確認させる提示を行う。例えば、当初は加工可能と指定された属性に対して、削除処理を行なわないと匿名性が満足できない場合にはこの提示を行う。

ステップＳ６０６では、匿名加工システム１は、ステップＳ６０４にて匿名性を満足したテーブル候補について、分析有用性があるか確認させるための表示を行う。分析有用性がある場合は（ステップＳ６０６：Ｙｅｓ）、ステップＳ６０７に進む。一方、分析有用性が無い場合は（ステップＳ６０６：Ｎｏ）、匿名加工システム１は、所定の終了条件が満たされるかを判定する（ステップＳ６０９）。この終了条件はいかなるものであってもよいが、例えば図４のステップＳ４０９と同様のものであってもよい。

終了条件が満たされる場合（ステップＳ６０９：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合（ステップＳ６０９：Ｎｏ）、匿名加工システム１は、ステップＳ６０２へ戻って、匿名加工処理を再試行する。ステップＳ６０６での分析有用性の判定は、例えば図４のステップ４０６と同様に行うことができる。

ステップＳ６０７では、匿名加工システム１は、分析有用性があると確認された後に、最終的な匿名加工条件の変更について入力部２０３を介して利用者に承諾させ、このフローを終了する。このとき、匿名加工システム１は、図１１のような画面を提示部２０２を介して提示してもよい。また、このとき、匿名加工システム１は、提示された匿名加工条件を記憶部２０１に記憶してもよい。これにより、後で履歴検索部２１２がキーワード又は属性を用いて検索することができる。

図７は、本発明の実施形態における匿名加工システム１の匿名加工不可な属性に関して匿名加工度合を調整して匿名加工処理を行うフローの一例を示す図である。

ステップＳ７０１では、匿名加工システム１は、属性設定部２０６を介して匿名加工許容度合が加工不可と指定された属性群を抽出する。

ステップＳ７０２では、匿名加工システム１は、属性設定部２０６を介して指定された各属性の重要度が下位の属性から順に加工不可を加工可能に変更し、匿名加工処理を試行する。このとき、加工対象の属性を一つに限らないのは、Ｓ６０２と同様である。

ステップＳ７０３では、匿名加工システム１は、ステップ７０２にて匿名加工を施したテーブルに関して、匿名性を満足するか判定する。匿名性を満足する場合は（ステップＳ７０３：Ｙｅｓ）、ステップＳ７０４に進む。一方、匿名性を満足しない場合は（ステップＳ７０３：Ｎｏ）、匿名加工システム１は、所定の終了条件が満たされるかを判定する（ステップＳ７０８）。この終了条件はいかなるものであってもよいが、例えば図４のステップＳ４０９と同様のものであってもよい。

終了条件が満たされる場合（ステップＳ７０８：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合（ステップＳ７０８：Ｎｏ）、匿名加工対象の属性の変更又は属性の組み合わせの変更を行うためにステップＳ７０２に戻る。

ステップＳ７０４では、匿名加工システム１は、ステップＳ７０３にて匿名性を満足したテーブルを提示部２０２に表示する。このとき、過去の匿名性判定処理にて匿名性を満足したテーブル候補を複数表示してそれらのいずれかを選択できるようにするために、図１０に示すような画面を提示してもよい。

ステップＳ７０５では、匿名加工システム１は、ステップＳ７０３において匿名性を満足すると判定した場合に、テーブル候補選択部２１１が属性設定部２０６を介して入力した当初の匿名加工条件と異なっていることを確認させる提示を提示部２０２を介して行う。例えば、当初は加工不可と指定された属性に対して、一般化による匿名加工処理を行なわないと匿名性が満足できない場合には、その旨の提示を行う。

ステップＳ７０６では、匿名加工システム１は、ステップＳ７０４にて匿名性を満足したテーブル候補について、分析有用性があるか確認させるための表示を提示部２０２を介して行う。分析有用性がある場合は（ステップＳ７０６：Ｙｅｓ）、ステップＳ６０７に進む。一方、分析有用性が無い場合は（ステップＳ７０６：Ｎｏ）、匿名加工システム１は、所定の終了条件が満たされるかを判定する（ステップＳ７０９）。この終了条件はいかなるものであってもよいが、例えば図４のステップＳ４０９と同様のものであってもよい。

終了条件が満たされる場合（ステップＳ７０９：Ｙｅｓ）、処理を終了する。終了条件が満たされない場合（ステップＳ７０９：Ｎｏ）、匿名加工システム１は、Ｓ７０２へ戻って、匿名加工処理を再試行する。ステップＳ７０６での分析有用性の判定は、例えば図４のステップ４０６と同様に行うことができる。

ステップＳ７０７では、匿名加工システム１は、分析有用性があると確認された後に、最終的な匿名加工条件の変更について承諾を推薦する画面を表示させ、入力部２０３を介して利用者の承諾を得た後、このフローを終了する。このとき、匿名加工システム１は、図１１のような画面を提示部２０２に示してもよい。また、このとき、匿名加工システム１は、提示された匿名加工条件を記憶部２０１に記憶してもよい。これにより、後で履歴検索部２１２がキーワード又は属性を用いて検索することができる。

図８は、本発明の実施形態における匿名加工システム１の属性設定画面の一例を示す図である。

図中の太枠の内部の項目に関して、属性設定部２０６を介して値が入力される。

具体的には、データ読出部２０５が記憶部２０１から読み出したテーブルを構成する各属性に関して、属性設定部２０６を介して入手希望属性、匿名加工許容レベル及び重要度が設定される。

入手希望属性としては、対象の属性ごとに、例えば、その属性の値が「必須」「任意」又は「不要」のいずれであるかが設定される。「任意」は、その属性の値があってもなくてもよいことを示す。これらは、例えば、分析の目的に応じて、その分析における属性値の必要性の高さに基づいて設定されてもよい。

匿名加工許容レベルとしては、対象の属性ごとに、例えば、「加工ＯＫ」及び「加工ＮＧ」のいずれかが設定される。「加工ＯＫ」は、匿名化のための加工が許容されることを、「加工ＮＧ」は匿名化のための加工が許容されないことを示す。また、「加工ＯＫ」の場合に、許容される加工の程度が設定されてもよい。これは、例えば、分析の目的に応じて属性値に求められる精度に基づいて設定されてもよい。

重要度は、属性の項目ごとの属性値の重要度であり、例えば、分析の目的に応じて設定されてもよい。図８の例では、重要度の値「１」が最も高い重要度を、「７」が最も低い重要度を示す。図８の例では、重要度は各属性の重要度の順位という形で設定されるが、このような形式の設定は一例であり、項目間の相対的な重要度が分かるように設定されていればよい。また、複数の属性に同一の重要度が設定されてもよい。そのような設定は、それらの属性の相対的な重要度が同程度であることを示す。

例えば、図８の例では、年齢属性の入手希望属性の設定値が必須であり、匿名加工許容レベル設定値が加工不可（加工ＮＧ）を指定している。これは分析要望の詳細化の結果、年齢属性が分析に重要な属性であり、属性値の精度も必要であったことを示している。疾病名コード属性及び投薬名称属性も同様である。

次に、性別属性については、入手希望属性は不要と指定しており、分析に不要であることを示している。投薬期間属性については、入手は必須であるものの、加工可能（加工ＯＫ）となっている。これは、属性値の精度はそれほど重要ではないが、この属性値が存在することが重要であることを示している。

身長属性については、入手できるなら属性値の匿名加工は不可であり、匿名加工されてしまうならば、その属性値は不要である、という設定例を示している。

体重属性については、属性値を入手してもしなくてもよく、入手できた場合には匿名加工は可能である、という設定例を示している。

また、図８の例は、疾病名コード属性の重要度が最も高く、次いで、投薬名称属性、年齢属性、投薬期間属性、身長属性、体重属性の順に重要度が高く、性別属性の重要度が最も低いことを示す。

なお、図８に挙げた属性の他にも多数の属性がある場合が想定されるが、全ての属性のデフォルト値として入手不要と設定しておき、入手必須又は入手任意とする属性のみを選択して入力できるようにすれば、入力の手間を省くことができる。

図９は、本発明の実施形態における匿名加工システム１の属性設定値に基づいた匿名加工の結果を表示する画面の一例を示す図である。

図中の太枠の内部の項目は、初期入力値（すなわち最初に設定された入手希望属性及び匿名加工許容レベル）に従って行われた各属性の加工の内容とその結果として得られた匿名性の程度を示すものであり、匿名加工システム１の提示部２０２によって表示される。

具体的には、図９の例では、年齢属性、身長属性、疾病名コード属性及び投薬名称属性は、入手希望属性が必須又は任意のいずれかであり、匿名加工許容レベルが加工不可であるため、いずれも、無加工となっている。性別属性は、入手希望属性が不要であるため、削除されている。

体重属性は、入手希望属性が任意であり、匿名加工許容レベルが加工可能であるため、「３０～１００」に匿名加工されている。すなわち、３０ｋｇ～１００ｋｇの範囲内の属性値は、いずれも、「３０ｋｇ～１００ｋｇ」という属性値に置き換えられる。投薬期間属性は、入手希望属性が必須であり、匿名加工許容レベルが加工可能であるため、「１～６」及び「７～１２」に匿名加工されている。

この例において匿名性の値が×であるのは、属性設定部２０６で入力した当初の加工条件に従って上記のように加工したデータでは要求される匿名性が満足できなかったことを示す。

図１０は、本発明の実施形態における匿名加工システム１の匿名性を満足する匿名加工の候補を表示し、匿名加工許容レベルを変更すべき属性を推薦する画面の一例を示す図である。

提示部２０２には、匿名性を満足した加工例が複数提示される。図１０では、加工例１～６の合計６つが候補として挙げられている。これらの候補は、属性設定部２０６において指定された匿名加工許容レベル設定値が加工ＮＧであった属性の加工を許容する、又は、入手希望が必須である属性を削除するなど、条件を緩和した匿名加工処理を施した結果、匿名性を満足できた加工例である。また、加工ＯＫと指定された属性に関して、削除可と条件を緩和した匿名加工を施した結果、匿名性を満足できた加工例も示すことができる。

例えば、加工例１では、入手希望が必須、匿名加工許容レベルが加工ＮＧと設定されていた年齢属性が削除されている。これは、年齢属性の入手希望が任意又は不要に変更されたことに相当する。

加工例２では、年齢属性が匿名加工されている。これは、年齢属性の匿名加工許容レベルが加工ＯＫに変更されたことに相当する。さらに、加工例２では、投薬期間属性が匿名加工されているが、その加工は、初期入力値による加工より匿名性が高く、情報の欠落が多い加工となっている。

加工例３では、入手希望が必須、匿名加工許容レベルが加工ＯＫと設定されていた投薬期間属性が削除されている。これは、投薬期間属性の入手希望が任意又は不要に変更されたことに相当する。さらに、加工例３では、年齢属性が匿名加工されているが、その加工は、加工例２における加工より匿名性が低く、情報の欠落が少ない加工となっている。

加工例４では、入手希望が任意、匿名加工許容レベルが加工ＮＧと設定されていた身長属性が削除されている。匿名加工許容レベルが加工ＮＧであっても、入手希望が任意であるため、この例では身長属性が削除の対象となっている。

加工例５では、身長属性が匿名加工されている。これは、身長属性の匿名加工許容レベルが加工ＯＫに変更されたことに相当する。

加工例６では、入手希望が任意、匿名加工許容レベルが加工ＯＫと設定されていた体重属性が削除されている。また、加工例６では投薬期間属性が匿名加工されているが、その加工は、初期入力値による加工より匿名性が低く、情報の欠落が少ない加工となっている。

このように複数の加工例を表示するユーザインターフェース（ＵＩ）は、どの条件をどのように変更したかを示す情報を表示してもよい。例えば加工例１については、入手希望が必須、匿名加工許容レベルが加工ＮＧ（Ｎ）と設定されていた年齢属性が削除（Ｄ）されたことを示す「必須Ｎ→Ｄ」が表示されてもよい。同様に、例えば加工例５については、入手希望が任意、匿名加工許容レベルが加工ＮＧ（Ｎ）と設定されていた年齢属性が加工ＯＫ（Ｋ）に変更され、加工されたことを示す「必須Ｎ→Ｋ」が表示されてもよい。

なお、匿名加工システム１は、重要度が所定の値より低い属性について匿名加工許容レベル等の設定を変更した場合の匿名性が匿名性指標を満たす場合に、その変更を含む加工例を生成してもよい。それによって匿名性が匿名性指標を満たす加工例を生成できない場合には、より重要度が高い属性について設定を変更して、加工例を生成してもよい。あるいは、種々の重要度の属性の設定を変更した複数の加工例を生成して、より重要性が低い属性の設定を変更した加工例を上位の加工例として表示し、より重要性が高い属性の設定を変更した加工例を介の加工例として表示してもよい。

このように、加工例として、加工する属性及び加工の程度を変更することで複数の候補が算出される。複数の加工例を提示することによって、データ加工機関１０３又はデータ分析機関１０４がそれぞれの候補を他の候補と比べながら分析有用性があるかどうかを判断する過程を支援する。

図１０には、データ加工機関１０３が匿名加工例２に分析有用性があると判定して、入力部２０３を介して加工例２を選択した場合の表示例を示している。この選択は、例えば、匿名性の列にあるチェック欄を有効化することで行われる。その結果、図１０では、匿名加工例２の行が太枠で表示されている。さらに、属性値の加工サンプルとその加工サンプルを実現するために匿名加工許容レベルを変更すべき属性が示される。例えば加工例２が選択された場合、年齢属性と投薬期間属性の匿名加工許容レベルが変更されているため、それらが太枠で表示されている。

例えば、年齢属性については、当初は加工不可と指定されていたが、加工例２では、年齢属性を加工可能属性に変更して、１０～５０才、５０～１００才の２分類になる加工を許容できれば、匿名性を満足できることが提示部２０２を介して示される。また、投薬期間属性については当初から加工可能と指定されていたが、初期値による匿名加工による属性値は１～６、７～１２の２分類であった。一方、加工例２を選択した場合は属性値が１～１２の１分類となり、匿名性が向上した代わりに情報量が欠落したことを示す。ただし、この情報欠落の通知は必須ではない。

図１１は、本発明の実施形態における匿名加工システム１の匿名加工レベルの変更を承諾する画面の一例である。

図中の太枠は、年齢属性に関して当初の匿名加工許容レベルの設定値と、匿名性を満足するために変更すべき匿名加工許容レベルの推奨設定値の両方を提示し、前者に対する後者の変更点を明示したものである。画面下部にはさらに承諾を確認する表示を含む承諾ボタン１１０１が表示される。データ加工機関１０３が上記の変更を承諾した場合にはこの承諾ボタン１１０１を操作する。ただし、このような画面の表示は必須ではなく、図１０に示したユーザインターフェースにて匿名加工例２を選択した時点で変更を承諾したものとして処理を進めても良い。

なお、投与期間属性に関しては、匿名加工許容レベルの設定値の変更は不要であるが、当初の匿名加工条件に基づいた加工結果と比べて、情報が欠落した属性であることが示されている。ただし、この情報欠落の通知は必須ではない。

図１２は、本発明の実施形態における匿名加工システム１の匿名加工済みデータの出力画面の一例である。

図中の太枠は、匿名加工例２を選択し、推奨設定を選択して匿名加工条件の変更を承諾した場合に出力されるデータの具体例である。例えば、年齢属性に関しては、属性値として１０～５０及び５０～１００の２分類があり、このテーブルにそれぞれ３レコード以上存在し、既定の匿名性を満足している。

本実施形態により、匿名性と分析有用性とを両立した匿名加工を実現し、匿名加工済みのデータ出力の手戻りを削減することができる。

以上に説明した本発明の態様の代表的な例をまとめると次の通りとなる。すなわち、制御部（例えば制御部２００）と、制御部に接続される記憶部（例えば記憶部２０１）と、制御部に接続される提示部（例えば提示部２０２）と、を有する匿名加工システム（例えば匿名加工システム１）であって、記憶部は、属性の項目ごとに、重要度を示す情報（例えば図８に示した重要度）及び属性値に許容される匿名加工の程度を示す情報（例えば図８等に示した匿名加工許容レベル）を保持し、制御部は、重要度を示す情報及び許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算し（例えばステップＳ４０２及びＳ４０３）、計算された匿名性と、重要度と、許容される匿名加工の程度と、に基づいて、許容される匿名加工の程度を変更する属性の項目を特定し（例えばＳ４０４又はＳ４０５）、提示部を介して、特定した属性の項目を提示する（例えばステップＳ６０５又はＳ７０５）。

これによって、あらかじめ指定された匿名性指標を満足するための匿名加工の対象となる属性の項目の候補を示すことができる。

ここで、記憶部は、要求される匿名性を示す情報（例えばステップＳ４０３、Ｓ５０５、Ｓ６０３及びＳ７０３における判定基準となる匿名性指標）をさらに保持してもよく、制御部は、計算された匿名性が、要求される匿名性を満たさない場合に、許容される匿名加工の程度を変更する属性の項目を特定してもよい。

これによって、初期に設定された条件では匿名性が満たされない場合に、加工の対象となる属性の項目の候補を示すことができる。

また、制御部は、特定された属性の項目及び変更後の許容される匿名加工の程度の少なくとも一つが互いに異なり、かつ、変更後に計算された匿名性が要求される匿名性を満たす、複数の変更例（例えば図１０に示す加工例１～６）を生成し、提示部を介して、複数の変更例を提示してもよい。

これによって、匿名加工されたデータの利用者（例えばデータ分析機関）が受け入れやすい匿名加工の案を提示できる可能性が高まる。

また、制御部は、複数の変更例の一つが選択された場合、匿名加工の対象のデータに対して、選択された変更例によって特定された属性の項目に、選択された変更例の許容される加工の程度に基づく匿名加工を行い、匿名加工されたデータを出力（例えばステップＳ４０７）してもよい。

これによって、匿名性と分析有用性を両立する匿名加工を実現し、匿名加工済みのデータ出力の手戻りを削減することができる。

また、記憶部は、要求される匿名性を示す情報をさらに保持してもよく、制御部は、許容される匿名加工の程度の変更を指示する情報が入力されると、入力された情報に従って匿名加工が実行された後のデータの匿名性を計算し、計算された匿名性が、要求される匿名性を満たさない場合に、許容される匿名加工の程度を変更する属性の項目を特定してもよい。

例えば、データ加工機関１０３は、図９に示すユーザインターフェースを参照して、少なくとも一つの属性の匿名加工許容レベル等を変更する指示を、入力部２０３を介して匿名加工システム１に入力してもよい。匿名加工システム１は、入力された変更を反映させた匿名加工の結果、匿名性指標が満たされない場合に、変更例を生成して、その結果を例えば図１０の加工例と同様の形式で表示してもよい。

これによって、データ加工機関１０３による条件の変更の試行が容易になり、データの利用者が受け入れやすい匿名加工データを取得するための利便性が向上する。

また、制御部は、特定された属性の項目及び変更後の許容される匿名加工の程度の少なくとも一つからなる変更案と、変更案に基づく匿名加工後のデータの匿名性と、を関連付けて、加工履歴として記憶部に格納してもよい。

そして、制御部は、匿名加工に関するキーワード又は属性が検索条件として入力されると、記憶部から検索条件に適合する加工履歴を検索して（例えば履歴検索部２１２の処理）、提示部を介して提示してもよい。

これによって、過去に設定された条件が記録され、それに基づいて新たな条件を設定して匿名加工を試行するなどが容易になり、利便性が向上する。

また、記憶部は、要求される匿名性を示す情報をさらに保持してもよく、重要度を示す情報は、属性の項目間の相対的な重要度を示す情報であってもよく、制御部は、重要度が低い属性の項目を、許容される匿名加工の程度を変更する属性の項目として特定し、特定された属性の項目の属性値について、変更後の許容される匿名加工の程度に基づく匿名加工を行った場合の匿名性が要求される匿名性を満たさない場合、重要度が高い属性の項目を、許容される匿名加工の程度を変更する属性の項目として特定してもよい。

これによって、あらかじめデータの利用者によって設定された重要度が低い属性が優先的に匿名加工の対象として特定されるため、データの利用者に受け入れられやすい匿名加工の例を優先的に生成して提示することができる。

また、許容される匿名加工の程度を示す情報は、属性値の匿名加工が許容されるかを示す情報であってもよく、制御部は、特定した属性の項目の許容される匿名加工の程度を示す情報を、属性値の匿名加工が許容されないことを示す情報（例えば加工ＮＧ）から、属性値の匿名加工が許容されることを示す情報（例えば加工ＯＫ）に変更し、変更後の許容される匿名加工の程度に基づく匿名加工を行った場合の匿名性が要求される匿名性を満たす場合、当該許容される匿名加工の程度の変更を示す情報を含む変更例を生成し、提示部を介して変更例を提示してもよい。

これによって、匿名加工の条件が緩和され、匿名性指標を満たす匿名加工の例が生成されやすくなる。

また、記憶部は、要求される匿名性を示す情報をさらに保持してもよく、許容される匿名加工の程度を示す情報は、属性値の匿名加工が許容されるかを示す情報であってもよく、制御部は、許容される匿名加工の程度を示す情報に基づいて、匿名加工が許容される属性値の匿名加工をした場合の匿名性を計算し、計算された匿名性が要求される匿名性を満たさない場合に、匿名加工が許容される属性値について、さらに匿名性を高めるための匿名加工をした場合の匿名性を計算し、さらに匿名性を高めるための匿名加工をした後に計算された匿名性が要求される匿名性を満たさない場合に、許容される匿名加工の程度を示す情報に基づいて、匿名加工が許容されない属性値の匿名加工をした場合の匿名性を計算してもよい。

これは、例えば、匿名加工システム１が図４のステップＳ４０４を実行し、それによって匿名性指標が満たされる匿名加工ができない場合に（ステップＳ４０８：Ｎｏ）、ステップＳ４０５を実行することに相当する。

これによって、データの利用者に受け入れられやすい匿名加工が先に試行され、それでも匿名性指標が満たされない場合に、より匿名性を高めるための匿名加工が試行される。

また、記憶部は、属性の項目ごとに、属性値の要否を示す情報（例えば図８に示す入手希望設定）を保持してもよく、制御部は、特定した属性の項目の属性値の要否を示す情報を、属性値が必要であることを示す情報（例えば「必須」）から属性値が必要でないことを示す情報（例えば「不要」）に変更し、変更後の属性値の要否に基づく匿名加工を行った場合の匿名性が要求される匿名性を満たす場合、当該属性値の要否の変更を示す情報を含む変更例を生成し、提示部を介して変更例を提示してもよい。

これによって、匿名加工の条件が緩和され、匿名性指標を満たす匿名加工の例が生成されやすくなる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明のより良い理解のために詳細に説明したのであり、必ずしも説明の全ての構成を備えるものに限定されるものではない。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によってハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによってソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤ等の計算機読み取り可能な非一時的データ記憶媒体に格納することができる。

また、制御線及び情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線及び情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。

１：匿名加工システム
１０１：データ提供機関
１０２：データ保管機関
１０３：データ加工機関
１０４：データ分析機関
２００：制御部
２０１：記憶部
２０２：提示部
２０３：入力部
２０４：データ出力部
２０５：データ読出部
２０６：属性設定部
２０７：匿名加工部
２０８：匿名性算出部
２０９：属性特定部
２１０：テーブル候補生成部
２１１：テーブル候補選択部
２１２：履歴検索部

Claims (11)

1. 制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有する匿名加工システムであって、
   前記記憶部は、
   属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、
   要求される匿名性を示す情報をさらに保持し、
   前記制御部は、
   前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算し、
   前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定し、
   前記提示部を介して、前記特定した属性の項目を提示し、
   前記許容される匿名加工の程度の変更を指示する情報が入力されると、入力された情報に従って匿名加工が実行された後のデータの匿名性を計算し、
   前記計算された匿名性が、前記要求される匿名性を満たさない場合に、前記許容される匿名加工の程度を変更する前記属性の項目を特定することを特徴とする匿名加工システム。
2. 請求項１に記載の匿名加工システムであって、
   前記制御部は、
   前記特定された属性の項目及び変更後の前記許容される匿名加工の程度の少なくとも一つが互いに異なり、かつ、変更後に計算された匿名性が前記要求される匿名性を満たす、複数の変更例を生成し、
   前記提示部を介して、前記複数の変更例を提示することを特徴とする匿名加工システム。
3. 請求項２に記載の匿名加工システムであって、
   前記制御部は、前記複数の変更例の一つが選択された場合、前記匿名加工の対象のデータに対して、前記選択された変更例によって特定された属性の項目に、前記選択された変更例の前記許容される加工の程度に基づく匿名加工を行い、
   匿名加工されたデータを出力することを特徴とする匿名加工システム。
4. 請求項１に記載の匿名加工システムであって、
   前記制御部は、前記特定された属性の項目及び変更後の前記許容される匿名加工の程度の少なくとも一つからなる変更案と、前記変更案に基づく匿名加工後のデータの匿名性と、を関連付けて、加工履歴として前記記憶部に格納することを特徴とする匿名加工システム。
5. 請求項４に記載の匿名加工システムであって、
   前記制御部は、前記匿名加工に関するキーワード又は前記属性が検索条件として入力されると、前記記憶部から前記検索条件に適合する前記加工履歴を検索して、前記提示部を介して提示することを特徴とする匿名加工システム。
6. 請求項１に記載の匿名加工システムであって、
   前記重要度を示す情報は、前記属性の項目間の相対的な重要度を示す情報であり、
   前記制御部は、
   前記重要度が低い前記属性の項目を、前記許容される匿名加工の程度を変更する前記属性の項目として特定し、
   前記特定された属性の項目の属性値について、変更後の前記許容される匿名加工の程度に基づく匿名加工を行った場合の匿名性が前記要求される匿名性を満たさない場合、前記重要度が高い前記属性の項目を、前記許容される匿名加工の程度を変更する前記属性の項目として特定することを特徴とする匿名加工システム。
7. 制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有する匿名加工システムであって、
   前記記憶部は、属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、
   前記制御部は、
   前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算し、
   前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定し、
   前記提示部を介して、前記特定した属性の項目を提示し、
   前記許容される匿名加工の程度を示す情報は、前記属性値の匿名加工が許容されるかを示す情報であり、
   前記制御部は、
   前記特定した属性の項目の前記許容される匿名加工の程度を示す情報を、前記属性値の匿名加工が許容されないことを示す情報から、前記属性値の匿名加工が許容されることを示す情報に変更し、変更後の前記許容される匿名加工の程度に基づく匿名加工を行った場合の匿名性が前記要求される匿名性を満たす場合、当該許容される匿名加工の程度の変更を示す情報を含む変更例を生成し、
   前記提示部を介して前記変更例を提示することを特徴とする匿名加工システム。
8. 制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有する匿名加工システムであって、
   前記記憶部は、属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、
   前記制御部は、
   前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算し、
   前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定し、
   前記提示部を介して、前記特定した属性の項目を提示し、
   前記記憶部は、要求される匿名性を示す情報をさらに保持し、
   前記許容される匿名加工の程度を示す情報は、前記属性値の匿名加工が許容されるかを示す情報であり、
   前記制御部は、
   前記許容される匿名加工の程度を示す情報に基づいて、匿名加工が許容される属性値の匿名加工をした場合の匿名性を計算し、
   計算された匿名性が前記要求される匿名性を満たさない場合に、匿名加工が許容される属性値について、さらに匿名性を高めるための匿名加工をした場合の匿名性を計算し、
   前記さらに匿名性を高めるための匿名加工をした後に計算された匿名性が前記要求される匿名性を満たさない場合に、前記許容される匿名加工の程度を示す情報に基づいて、匿名加工が許容されない属性値の匿名加工をした場合の匿名性を計算することを特徴とする匿名加工システム。
9. 制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有する匿名加工システムであって、
   前記記憶部は、属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、
   前記制御部は、
   前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算し、
   前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定し、
   前記提示部を介して、前記特定した属性の項目を提示し、
   前記記憶部は、前記属性の項目ごとに、前記属性値の要否を示す情報を保持し、
   前記制御部は、
   前記特定した属性の項目の前記属性値の要否を示す情報を、前記属性値が必要であることを示す情報から前記属性値が必要でないことを示す情報に変更し、変更後の前記属性値の要否に基づく匿名加工を行った場合の匿名性が前記要求される匿名性を満たす場合、当該属性値の要否の変更を示す情報を含む変更例を生成し、
   前記提示部を介して前記変更例を提示することを特徴とする匿名加工システム。
10. 制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有する情報処理装置を制御するための匿名加工プログラムであって、
    前記記憶部は、
    属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、
    要求される匿名性を示す情報をさらに保持し、
    前記匿名加工プログラムは、
    前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算する手順と、
    前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定する手順と、
    前記提示部を介して、前記特定した属性の項目を提示する手順と、
    前記許容される匿名加工の程度の変更を指示する情報が入力されると、入力された情報に従って匿名加工が実行された後のデータの匿名性を計算する手順と、
    前記計算された匿名性が、前記要求される匿名性を満たさない場合に、前記許容される匿名加工の程度を変更する前記属性の項目を特定する手順と、を前記制御部に実行させることを特徴とする匿名加工プログラム。
11. 制御部と、前記制御部に接続される記憶部と、前記制御部に接続される提示部と、を有する情報処理装置が実行する匿名加工方法であって、
    前記記憶部は、
    属性の項目ごとに、重要度を示す情報及び属性値に許容される匿名加工の程度を示す情報を保持し、
    要求される匿名性を示す情報をさらに保持し、
    前記匿名加工方法は、
    前記制御部が、前記重要度を示す情報及び前記許容される匿名加工の程度を示す情報に基づく匿名加工が実行された後のデータの匿名性を計算する手順と、
    前記制御部が、前記計算された匿名性と、前記重要度と、前記許容される匿名加工の程度と、に基づいて、前記許容される匿名加工の程度を変更する前記属性の項目を特定する手順と、
    前記制御部が、前記提示部を介して、前記特定した属性の項目を提示する手順と、
    前記許容される匿名加工の程度の変更を指示する情報が入力されると、前記制御部が、入力された情報に従って匿名加工が実行された後のデータの匿名性を計算する手順と、
    前記計算された匿名性が、前記要求される匿名性を満たさない場合に、前記制御部が、前記許容される匿名加工の程度を変更する前記属性の項目を特定する手順と、を含むことを特徴とする匿名加工方法。

Images