JPWO2015118801A1 - 情報判定装置、情報判定方法及びプログラム - Google Patents

Abstract

時々刻々と追加されるストリームデータに関し、当該ストリームデータから個人が特定できるか否かを判定する情報判定装置を提供する。情報判定装置は、時系列に沿って取得されたストリームデータを記憶する第１の記憶部と、第１の記憶部に記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定部と、第１の記憶部に記憶されたストリームデータの数が所定値以上の場合に、第１の記憶部に記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定し、判定に用いたデータセットと判定結果とを出力する第２の判定部と、を備える。

Description

本発明は、情報判定装置、情報判定方法及び記録媒体に関する。特に、データの集合により個人が特定できるか否かを判定する情報判定装置、情報判定方法及び記録媒体に関する。

近年、様々な個人情報が集積され、集積されたデータに基づいたサービスの普及が始まっている。例えば、ＩＣ（Integrated Circuit）タグにより管理される購入商品、ＧＰＳ（Global Positioning System）信号を用いたモバイル端末の位置情報、ソーシャルメディアへの投稿、ＷＥＢ（ウェブ）サイトの検索履歴、オンラインストアにおける商品購入履歴等の個人情報が収集されている。そして、この収集された個人情報は、消費者が興味のある商品を推薦するようなサービスに活用されている。なお、以降の説明において、スマートフォン等のデータを生成する装置を、ソースと表記する。

ソースから収集したデータを用いたサービスを提供する際に、当該サービスを実現するためのアプリケーションを開発する必要がある。その際、モバイル端末に通信網を提供する通信事業者やオンラインショッピングの運営業者が自らアプリケーションを開発することもあるが、外部にアプリケーションの開発を委託する場合もある。あるいは、通信事業者等のデータ保有者から個人情報を購入し、当該個人情報に基づいて独自のサービスを提供する業者も存在する。つまり、個人情報を収集する主体と、個人情報を利用する主体と、が一致しないことがある。このような場合には、データ保有者とデータ利用者の間で、個人情報の移動が生じることになる。その際、データ利用者に提供されたデータに基づいて、データ保有者に情報を提供した個人（ソースの保持者）が特定され、個人のプライバシが流出することを防止する必要がある。

ここで、非特許文献１において、所謂、ｋ−匿名化と称される匿名化技術が開示されている。ｋ−匿名化とは、同じ準識別子（quasi-identifier）を持つセンシティブ情報がｋ個（但し、ｋは２以上の整数、以下同じ）より少ない場合、準識別子の匿名化により、同じ準識別子を持つセンシティブ情報がｋ個以上存在することを保証する技術である。なお、準識別子とは、他の値と組み合わせることで非公開の属性を推測することができるような属性をいう。つまり、準識別子とは、ユーザを一意に識別できる識別子とは異なるが、背景知識等を考慮することでユーザを識別（ユーザを特定）できる可能性のある情報をいう。例えば、性別、年齢、職業等が準識別子に該当する。また、センシティブ情報とは、他人に知られたくない個人情報をいう。例えば、趣味や病状等がセンシティブ情報に該当する。

図２２を用いて、ｋ−匿名化処理の一例を説明する。図２２において、ｋは３とし、年齢と職業が準識別子、病名がセンシティブ情報に該当する。図２２の（ａ）は、患者の年齢、職業、病名に関する匿名化処理前の情報である。図２２の（ｂ）は、患者の年齢、職業、病名に関する匿名化処理後の情報である。図２２の（ａ）に示す３つのデータのそれぞれは、年齢と職業がそれぞれ異なるため、２７歳のプログラマが癌を患っていることが分かる。そのため、年齢（２７歳）と職業（プログラマ）を知る人であれば、当該患者を特定できる可能性がある。

そこで、準識別子である年齢と職業を抽象化する作業が、ｋ−匿名化である。具体的には、図２２の（ｂ）に示すように、年齢と職業を患者間で同一とすることで、年齢と職業が同じ患者がｋ人（ここでは３人）以上存在するため、患者の年齢と職業を知る人であっても、患者の病名を正確に知ることはできない。このように、ｋ−匿名性を保証することで、個人が特定される可能性が１／ｋ以下となる。

L. Sweeney, "k-anonymity: a model for protecting privacy", International Journal on Uncertainty, Fuzziness and Knowledge-based Systems, vol.10, no.5, pp.557-570, 2002.

なお、上記先行技術文献の開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

ここで、上述のｋ−匿名化のような匿名化処理は、データ保有者がある程度の期間に亘り収集したデータに対して行われることが想定されている。具体的には、数日〜数年間に亘り計測した位置情報や購入履歴といった、ハードディスクに格納されている大量のデータに対して、匿名化処理が行われるのが通常である。このような膨大な蓄積データから、アプリケーション開発者が要求するデータが、当事者（データ保有者とアプリケーション開発者）間で定めた頻度（例えば、数日に一度〜数ヶ月に一度）で抽出され、アプリケーションの開発に使用される。

そのため、アプリケーション開発者に提供されるデータ量も膨大なものとなる。このような状況下にて、抽出されたデータ（アプリケーション開発者に提供されるデータ）から個人が特定される可能性があると判断された場合に、匿名化処理が実行される。しかし、ネットワーク技術等の発達により、時々刻々と変化するストリームデータ（例えば、消費者の位置情報）を利用したサービスに対する需要が高まってきている。即ち、ソースから提供されたストリームデータをリアルタイムに処理する必要がある。

ここで、ストリームデータにも個人情報が含まれるため、ストリームデータから個人が特定できる場合には、何かしらの匿名化処理が求められる。しかし、ストリームデータは時々刻々と変化し、定期的に追加されるデータであるため、匿名化処理（例えば、ｋ−匿名化処理）を行うのに十分なデータ量が確保されないことがある。

一方、位置情報のようなストリームデータを数日〜数ヶ月に亘り蓄積し、匿名化した状態にてアプリケーション開発者に提供すれば、個人が一意に識別される可能性は大幅に低減できる。しかし、位置情報を用いたサービスでは、ストリームデータをリアルタイムに処理し、消費者の位置に応じたタイムリーな情報提供に価値があるものである。即ち、ストリームデータを長期に蓄積した後に匿名化処理を実行することは許容されない。従って、時々刻々と発生するストリームデータから個人が特定できるか否かを判定し、適切な匿名化処理を匿名化装置に実行させる情報判定装置が望まれる。

本発明は、時々刻々と追加されるストリームデータに関し、当該ストリームデータから個人が特定できるか否かを判定することに寄与する情報判定装置、情報判定方法及び記録媒体を提供することを目的とする。

本発明の第１の視点によれば、時系列に沿って取得されたストリームデータを記憶する第１の記憶手段と、前記第１の記憶手段に記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定手段と、前記第１の記憶手段に記憶されたストリームデータの数が所定値以上の場合に、前記第１の記憶手段に記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定し、前記判定に用いたデータセットと判定結果とを出力する第２の判定手段と、を備える情報判定装置が提供される。

本発明の第２の視点によれば、時系列に沿って取得されたストリームデータを記憶し、前記記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定を行い、前記記憶されたストリームデータの数が所定値以上の場合に、前記記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する第２の判定を行い、前記第２の判定に用いたデータセットと判定結果とを出力する工程と、を含む情報判定方法が提供される。

本発明の第３の視点によれば、時系列に沿って取得されたストリームデータを記憶する処理と、前記記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定を行う処理と、前記記憶されたストリームデータの数が所定値以上の場合に、前記記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する第２の判定を行う処理と、前記第２の判定に用いたデータセットと判定結果とを出力する処理と、を情報判定装置に搭載されたコンピュータに実行させるプログラムを記録するコンピュータ読み取り可能な記録媒体が提供される。

なお、このコンピュータが読み取り可能な記憶媒体に記録されたコンピュータプログラムも本発明の範疇に含まれる。また、記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明の各視点によれば、時々刻々と追加されるストリームデータに関し、当該ストリームデータから個人が特定できるか否かを判定することに寄与する情報判定装置、情報判定方法及び記録媒体が、提供される。

一実施形態の概要を説明するための図である。 第１の実施形態に係るデータ処理システムの一構成例を示す図である。 第１の実施形態に係る情報判定装置の内部構成の一例を示す図である。 モバイル端末が送信するストリームデータの一例である。 データ記憶部が記憶するストリームデータの一例を示す図である。 第１の実施形態に係る情報判定装置の動作の一例を示すフローチャートである。 匿名化装置の内部構成の一例を示す図である。 第１の実施形態に係る情報判定装置が送信するデータセットの一例を示す図である。 第２の実施形態に係る情報判定装置の内部構成の一例を示す図である。 準識別子記憶部の保持する準識別子とそのカテゴリ分けの一例を示す図である。 匿名化可能データ数更新部の動作の一例を示すフローチャートである。 複数のデータセットの一例を示す図である。 複数のデータセットの一例を示す図である。 第３の実施形態に係る情報判定装置の内部構成の一例を示す図である。 特定可否判定部の動作の一例を示すフローチャートである。 過去のデータセットから個人が特定され得るか否かを判定する処理の一例を示すフローチャートである。 情報判定装置から送信されるデータセットの一例を示す図である。 第４の実施形態に係るデータ処理システムの一構成例を示す図である。 第４の実施形態に係る情報判定装置の内部構成の一例を示す図である。 データセット記憶部が保持するデータの一例を示す図である。 第４の実施形態に係る情報判定装置の動作の一例を示すフローチャートである。 ｋ−匿名化処理を説明するための図である。

初めに、図１を用いて一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。

上述のように、時々刻々と追加されるストリームデータに関し、当該ストリームデータから個人が特定できるか否かを判定することに寄与する情報判定装置が望まれる。

そこで、一例として図１に示す情報判定装置１００を提供する。情報判定装置１００は、第１の記憶部１０１と、第１の判定部１０２と、第２の判定部１０３とを備える。第１の記憶部１０１は、情報処理装置１００が時系列に沿って取得したストリームデータを記憶する。第１の判定部１０２は、第１の記憶部１０１に記憶されたストリームデータの数が所定値以上か否かを判定する。第２の判定部１０３は、第１の記憶部１０１に記憶されたストリームデータの数が所定値以上の場合に、第１の記憶部１０１に記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する。そして、第２の判定部１０３は、個人が特定されるか否かを判定したデータセットと判定結果とを出力する。

情報判定装置１００は、匿名化装置にて匿名化する際に最低限必要となる数のストリームデータが、第１の記憶部１０１に記憶されているか判定する（第１の判定部１０２）。
第１の判定部１０２は、匿名化装置にて匿名化処理が実行できる程度の数のストリームデータがバッファされたか否かを判定する。この判定により、匿名化装置にて匿名化処理を実行するには少なすぎるストリームデータを、匿名化装置に送信することを防止する。そのため、時々刻々と追加されるストリームデータに対する匿名化処理が確かなものとなる。また、情報判定装置１００は、バッファされたストリームデータの数が、所定値以上となった後、匿名化装置に送信しようとするデータセットに、個人が特定され得るストリームデータが含まれるか否かを判定する（第２の判定部１０３）。その結果、時々刻々と追加されるストリームデータから個人が特定できるか否かを判定できる情報判定装置が提供される。

以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。
［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

図２は、第１の実施形態に係るデータ処理システムの一構成例を示す図である。図２を参照すると、データ処理システムは、ネットワーク１０と、複数のモバイル端末２０−１〜２０−ｎ（ｎは２以上の整数、以下同じ）と、情報判定装置３０と、匿名化装置４０と、サーバ５０と、を含んで構成される。なお、以降の説明において、モバイル端末２０−１〜２０−ｎを区別する特段の理由がない場合には、単に「モバイル端末２０」と表記する。

図２に示す端末及び各装置は、ネットワーク１０を介して相互に接続されている。図２のデータ処理システムでは、モバイル端末２０からサーバ５０に向けてストリームデータが送られ、サーバ５０にて情報処理された後、モバイル端末２０にストリームデータを返信することで、ユーザに情報提供サービス等を提供する。その際、モバイル端末２０が送信するストリームデータは、情報判定装置３０に取り込まれる。

情報判定装置３０は、当該ストリームデータ（受信データ）から個人が特定され得るか否かを判定し、受信データと共に判定結果を匿名化装置４０に送信する。なお、情報判定装置３０から匿名化装置４０に送信される判定結果は、本実施の形態では、受信データから個人が特定され得ると判定されたことを示す「特定可能」と、個人が特定されることがないと判定した「特定不能」との２種である。

匿名化装置４０は、通知された判定結果が「特定可能」である場合には、受信データに匿名化処理を施し、サーバ５０に送信する。一方、匿名化装置４０は、通知された判定結果が「特定不能」である場合には、受信データに匿名化処理を施さず、サーバ５０に送信する。

モバイル端末２０が送信するストリームデータには、モバイル端末２０の位置に応じて、時々刻々と変化し、追加される位置情報が含まれる。そのため、モバイル端末２０は、ストリームデータを送信する装置（ソース）である。但し、モバイル端末２０が送信するストリームデータに位置情報が含まれることに限定する趣旨ではない。モバイル端末２０が送信するストリームデータは、例えば、モバイル端末２０のユーザの生体情報（例えば、脈拍等）を含むストリームデータであってもよい。

以上のように、図２に示す情報判定装置３０は、モバイル端末２０が送信するストリームデータから個人が特定できるか否かを判定し、判定結果を匿名化装置４０に通知する。

図３は、情報判定装置３０の内部構成の一例を示す図である。図３を参照すると、情報判定装置３０は、受信部２０１と、データ記憶部（第１の記憶部）２０２と、データ数判定部（第１の判定部）２０３と、匿名化可能データ数記憶部２０４と、特定可否判定部（第２の判定部）２０５と、準識別子記憶部２０６と、保持データ更新部２０７と、送信部２０８と、を含んで構成される。

受信部２０１は、モバイル端末２０が送信するストリームデータを受信する。そして、受信部２０１は、受信したストリームデータ（以下、受信データとも呼ぶ）をデータ記憶部２０２に格納する手段である。即ち、受信部２０１は、モバイル端末２０が送信するストリームデータを時系列に沿って取得する。また、受信部２０１は、受信データをデータ数判定部２０３に引き渡す。

なお、上述のように、モバイル端末２０が送信するデータはストリームデータであって、ソースであるモバイル端末２０に関する情報、モバイル端末２０を使用するユーザ（ソースの保持者）に関する情報、モバイル端末２０が計測した情報から算出される情報等を含む。モバイル端末２０に関する情報とは、例えば、モバイル端末の種別又は機種名等である。また、モバイル端末２０を使用するユーザ（ソースの保持者）に関する情報とは、例えば、年齢、職業等である。また、モバイル端末２０が計測した情報から算出される情報とは、例えば、位置、データ取得時の時刻、ユーザによる端末の操作状況や状態等である。また、モバイル端末２０が送信するストリームデータには、他の値と組み合わせることで、個人を特定し得る準識別子に区分される情報（単に、データとも呼ぶ）を１以上含む。

図４は、モバイル端末２０が送信するストリームデータの一例である。図４に示すストリームデータは、ユーザに関する情報である性別、年齢、職業と、モバイル端末２０が計測した情報から算出される情報である端末の位置、状態（ユーザは移動中）、時刻と、を含む。

データ記憶部２０２は、ハードディスク等の記憶媒体を含んで構成され、ストリームデータを記憶する。データ記憶部２０２の初期状態は、図５の（ａ）に示すように記憶データがない状態（０個のストリームデータを保持する状態）である。データ記憶部２０２は、受信部２０１から受信データを取得するたびに、受信データを管理するテーブルやデータベースを更新する（図５の（ｂ）、図５の（ｃ）参照）。

なお、以降の説明において、情報判定装置３０がモバイル端末２０から受信したストリームデータの集合をデータセットと表記する。例えば、図５の（ｃ）には、３つのストリームデータ（Ｄ１〜Ｄ３）を構成要素とするデータセットが例示されている。また、図５以降の図面における「番号」の項目は、説明の便宜上、付したものであり、モバイル端末２０から送信されるストリームデータに含まれるものではない。

データ数判定部２０３は、データ記憶部２０２に記憶されたストリームデータ（受信データ）の数が所定値以上か否かを判定する手段である。具体的には、データ数判定部２０３は、データ記憶部２０２が保持するデータセットに含まれるストリームデータの数（データ数と呼ぶ）と、匿名化可能データ数記憶部２０４が保持する匿名化可能データ数と、を比較する。データ数判定部２０３は、データ記憶部２０２から取得したデータ数が匿名化可能データ数以上の場合には、受信部２０１から取得したストリームデータを特定可否判定部２０５に引き渡す。一方、データ数判定部２０３は、データ記憶部２０２が保持するデータ数が、匿名化可能データ数未満の場合には、特段の動作を行わない。

ここで、匿名化可能データ数とは、システム管理者が設定する値であって、匿名化装置４０にて匿名化処理を行うのに必要となるデータ数以上の数とする。具体的には、匿名化装置４０にて、ｋ−匿名化処理が行われ、ｋが３である場合には、システム管理者は、匿名化可能データ数として３以上の値を設定する。

匿名化可能データ数記憶部２０４は、データ数判定部２０３にて使用する匿名化可能データ数を記憶する手段である。

準識別子記憶部２０６は、１個以上の準識別子を記憶する。システム管理者は、準識別子記憶部２０６が記憶する準識別子を予め登録する。より具体的には、システム管理者は、各モバイル端末２０から送信されるストリームデータのうち、準識別子に区分されるデータが一致すると不都合があると考える準識別子を準識別子記憶部２０６に登録する。例えば、図５において、システム管理者が、「年齢」が一致すると、各モバイル端末２０の所有者が特定される可能性が高いと判断すれば、準識別子記憶部２０６に「年齢」を登録する。あるいは、システム管理者が、「年齢」と「職業」が共に一致した場合に、個人が特定される可能性が高いと判断すれば、準識別子記憶部２０６に「年齢」と「職業」を登録する。

なお、第１の実施形態では、データ記憶部２０２、匿名化可能データ数記憶部２０４、準識別子記憶部２０６のそれぞれが異なる構成として説明するが、これらは１つの記憶装置により構成されてもよいし、任意に組み合わせて構成してもよい。

特定可否判定部２０５は、データ記憶部２０２に記憶されたストリームデータの数が匿名化可能データ数以上の場合に、データ記憶部２０２に記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する手段である。より具体的には、特定可否判定部２０５は、データ数判定部２０３からのストリームデータの取得を契機として、準識別子記憶部２０６が保持する準識別子に基づき、データ記憶部２０２に保持されるデータセットから個人が特定できるか否かを判定する。

特定可否判定部２０５は、データ記憶部２０２が保持するデータセットと、準識別子記憶部２０６が保持する準識別子と、をそれぞれ取得する。特定可否判定部２０５は、取得したデータセットを構成するストリームデータのそれぞれに含まれ、準識別子記憶部２０６から取得した準識別子と同じ準識別子に区分される、１以上のデータが不一致の場合に、個人が特定されると判定する。即ち、特定可否判定部２０５は、データセットを構成するストリームデータを構成するデータであって、準識別子に区分されるデータのうち、準識別子記憶部２０６が保持する準識別子に対応する準識別子に区分されるデータが互いに異なるか否かを判定する。そして、特定可否判定部２０５は、上記データが互いに異なる場合に、当該データセットには個人が特定され得るストリームデータが含まれると判定する。換言すれば、データセットを構成するデータに含まれ、準識別子に区分されるデータであって、準識別子記憶部２０６が保持する準識別子に対応する準識別子に区分されるデータが互いに一致すれば、当該データセットには個人が特定され得るストリームデータが含まれないと判定される。

例えば、図５の（ｃ）において、ストリームデータＤ１〜Ｄ３からなるデータセットに関し、準識別子記憶部２０６が保持する準識別子が「年齢」であれば、ストリームデータＤ１〜Ｄ３における「年齢」に相当するデータ値は互いに異なる。そのため、特定可否判定部２０５は、当該データセットには個人が特定され得るストリームデータが含まれると判定する。一方、準識別子記憶部２０６が保持する準識別子が「性別」であれば、ストリームデータＤ１〜Ｄ３における「性別」に相当するデータ値は互いに同一である。そのため、特定可否判定部２０５は、当該データセットには個人が特定され得るストリームデータが含まれないと判定する。

特定可否判定部２０５は、データ記憶部２０２から取得した、上記判定に用いたデータセットと、当該データセットに個人が特定可能なストリームデータが含まれるか否かの判定結果（「特定可能」又は「特定不能」）と、を保持データ更新部２０７に引き渡す。特定可否判定部２０５は、当該判定が下されたデータセット及び判定結果を、保持データ更新部２０７及び送信部２０８を介して、外部に出力する。

保持データ更新部２０７は、特定可否判定部２０５から、判定が下されたデータセットと判定結果を取得した場合に、データ記憶部２０２に対して、判定が下されたデータセットに相当するデータセットの削除を指示し、データ記憶部２０２の記憶内容を更新する手段である。その後、保持データ更新部２０７は、特定可否判定部２０５から取得したデータセット及び判定結果を、送信部２０８を介して、匿名化装置４０に送信する。

送信部２０８は、少なくともデータセットと判定結果を匿名化装置４０に送信する手段である。

情報判定装置３０の動作の概略をまとめると、図６に示すフローチャートのとおりとなる。

ステップＳ１０１において、受信部２０１は、モバイル端末２０からストリームデータを受信する。その後、受信部２０１は、受信したストリームデータ（受信データ）をデータ記憶部２０２に格納する（ステップＳ１０２）。併せて、受信部２０１は、受信したストリームデータをデータ数判定部２０３に引き渡す。

ステップＳ１０３において、データ数判定部２０３は、データ記憶部２０２が保持するデータセットを取得し、当該データセットのデータ数と、匿名化可能データ数記憶部２０４が保持する匿名化可能データ数と、を比較する。

比較した結果、データセットに含まれるデータ数が匿名化可能データ数以上の場合（ステップＳ１０３、Ｙｅｓ分岐）には、データ数判定部２０３は、ストリームデータを特定可否判定部２０５に引き渡す。一方、比較した結果、データセットに含まれるデータ数が匿名化可能データ数未満の場合（ステップＳ１０３、Ｎｏ分岐）には、処理を終了する。

ステップＳ１０４において、特定可否判定部２０５は、データ記憶部２０２から取得したデータセットと準識別子記憶部２０６が保持する準識別子とにより、取得したデータセットから個人が特定され得るか否かを判定し、その判定結果を生成する。その後、特定可否判定部２０５は、取得したデータセットと判定結果を保持データ更新部２０７に引き渡す。

ステップＳ１０５において、保持データ更新部２０７は、取得したデータセットに相当するデータセットを削除する指示を、データ記憶部２０２に対して行う。その後、保持データ更新部２０７は、データセットと判定結果を送信部２０８に引き渡す。

ステップＳ１０６において、送信部２０８は、取得したデータセットと判定結果を匿名化装置４０に送信し、処理を終了する。

図７は、匿名化装置４０の内部構成の一例を示す図である。図７を参照すると、匿名化装置４０は、少なくともデータセット及び判定結果を受信する受信部３０１と、匿名化部３０２と、匿名化部３０２を経由したデータセットを送信する送信部３０３と、を含んで構成される。

匿名化部３０２は、例えば、非特許文献１にて開示されるようなｋ−匿名化処理を実行することで、受信したデータセットに対する匿名化処理を行う。但し、匿名化処理を限定する趣旨ではなく、他の匿名化方法であってもよい。匿名化部３０２は、情報判定装置３０から受信した判定結果が「特定可能」を示す場合に、匿名化処理を実行する。一方、匿名化部３０２は、受信した判定結果が「特定不能」を示す場合には、特段の処理を行わず、そのままデータセットを送信部３０３に引き渡す。

次に、図５及び図６を参照しながら、第１の実施形態に係る情報判定装置３０の動作を具体的に説明する。その際、匿名化装置４０はｋ−匿名化処理を実行するものとし、ｋは「３」とする。そのため、システム管理者は、情報判定装置３０の匿名化可能データ数記憶部２０４に、匿名化可能データ数として「３」を予め登録しておく。但し、ｋ−匿名化処理では、ｋ個以上のストリームデータがあれば、ストリームデータの匿名化が可能であるため、匿名化可能データ数は「３」以上であればよい。

また、システム管理者は、準識別子記憶部２０６が保持する準識別子として、「年齢」と「職業」を予め登録する。さらに、データ記憶部２０２が記憶する各受信データの構成は、図５に示すように、「性別」、「年齢」、「職業」、「位置」、「状態」、「時刻」の各項目を含むものとする。さらにまた、動作の説明をする際のデータ記憶部２０２が記憶するデータセットは、図５の（ｂ）のとおりとする。このような状態にて、受信部２０１が、図５の（ｄ）に示すストリームデータを受信した場合を考える。

受信部２０１が、図５の（ｄ）に示すストリームデータを受信（図６、ステップＳ１０１）すると、受信データをデータ記憶部２０２に格納する（ステップＳ１０２）。その結果、データ記憶部２０２が保持するデータセットは、図５の（ｃ）となる。また、受信部２０１は、図５の（ｄ）に示すストリームデータを、データ数判定部２０３に引き渡す。

ストリームデータ（図５の（ｄ））を取得したデータ数判定部２０３は、データ記憶部２０２からデータセットに含まれるデータ数を取得する。データ記憶部２０２から取得したデータ数は、匿名化処理が行えるだけのデータ数（即ち、匿名化可能データ数記憶部２０４が保持する「３」）以上である（ステップＳ１０３、Ｙｅｓ分岐）ため、特定可否判定部２０５にストリームデータ（図５の（ｄ））を引き渡す。ストリームデータ（図５の（ｄ））を取得した特定可否判定部２０５は、データ記憶部２０２が保持するデータセット（図５の（ｃ））を取得する。

特定可否判定部２０５が、取得したデータセットに含まれる３つのストリームデータそれぞれにおいて、準識別子記憶部２０６が保持する準識別子である「年齢」と「職業」に区分されるデータは、異なる。そのため、特定可否判定部２０５は、取得したデータセットには個人が一意に特定され得るストリームデータが含まれると判定する（ステップＳ１０４）。取得したデータセットには個人が一意に特定され得るストリームデータが含まれるので、特定可否判定部２０５は「特定可能」の判定結果を生成する。

その後、特定可否判定部２０５は、データセット（図５の（ｃ））と「特定可能」を示す判定結果を、保持データ更新部２０７に引き渡す。データセット（図５の（ｃ））と「特定可能」を示す判定結果を取得した保持データ更新部２０７は、当該取得したデータセットをデータ記憶部２０２から削除（ステップＳ１０５）する。その結果、データ記憶部２０２が記憶するストリームデータはなくなる（図５の（ａ））。

その後、保持データ更新部２０７は、取得したデータセットと「特定可能」を示す判定結果を、送信部２０８に引き渡す。送信部２０８は、取得したデータセット（図５の（ｃ））と「特定可能」を示す判定結果を、匿名化装置４０に送信する（ステップＳ１０６）。

以上のように、第１の実施形態に係る情報判定装置３０は、匿名化装置４０にて匿名化する際に最低限必要となる数のストリームデータが、データ記憶部２０２に記憶されているか判定する（第１の判定）。即ち、情報判定装置３０は、匿名化装置４０にて匿名化処理が実行できる程度の数のストリームデータがバッファ（蓄積）されたか否かを判定する。この第１の判定により、情報判定装置３０は、匿名化装置４０にて匿名化処理を実行するには少なすぎるストリームデータを、匿名化装置４０に送信することを防止する。一方で、情報判定装置３０が、ストリームデータをバッファする数は、必要最低限の数であるので、時々刻々と追加されるストリームデータを利用したサービスのリアルタイム性を損なうことがない。即ち、情報判定装置３０は、第１の判定により、匿名化装置４０による確実な匿名化処理の実行と、ストリームデータに対するリアルタイムな情報処理と、を両立する。

さらに、情報判定装置３０は、匿名化装置４０に送信しようとするデータセットに、個人が特定され得るストリームデータが含まれるか否かを判定する（第２の判定）。情報判定装置３０は、この第２の判定結果を匿名化装置４０に送信する。匿名化装置４０では、この判定結果に基づいて、データセットに対する匿名化処理の要否を判断すればよく、特段、匿名化を要しないデータセットを匿名化することがない。そのため、匿名化装置４０の負荷が軽減され、処理時間が短縮されることで、ストリームデータに対する情報処理のリアルタイム性を向上させることができる。

［第２の実施形態］
続いて、第２の実施形態について図面を参照して詳細に説明する。

第１の実施形態においては、情報判定装置３０にストリームデータが所定数（匿名化可能データ数）以上蓄積されている場合に、データセットから個人が特定され得るか否かを判定する。
しかし、所定数以上のストリームデータが存在しても、匿名化装置４０での匿名化が適切でない場合がある。例えば、匿名化可能データ数記憶部２０４が保持する匿名化可能データ数が３であり、情報判定装置３０が送信するデータセットが、図８のとおりであったとする。なお、匿名化装置４０は、ｋが３、準識別子として「年齢」、「職業」を用いてｋ−匿名化処理を実行するものとする。

その際、準識別子である「年齢」が２２歳から５５歳までと範囲が広く、匿名化処理を行うと、「年齢＝２０〜６０」のように過度に抽象化されることになる。過度に抽象化されたデータセットは、当該データセットを利用しようとする業者にとって無価値な場合がある。例えば、２０代の男性が興味ある事項と５０代の男性が興味ある事項が大きく異なり、年齢に応じて、提供する情報を切り替えるような業者にとっては、上記のように過度に抽象化されたデータセットは無価値である。

そこで、第２の実施形態に係る情報判定装置３０ａでは、匿名化装置４０での匿名化処理にて抽象度が過度に高くなる可能性を低減するため、特定可否判定部２０５で扱うデータ数を調整する。なお、データセットが「無価値」であるか否かは、当該データセットを利用するサービス内容に依存するため、システム管理者がサービスと匿名化処理の内容を勘案し、どのようなデータセットであれば意味を持つか（無価値とならないか）を定めるものとする。

図９は、第２の実施形態に係る情報判定装置３０ａの内部構成の一例を示す図である。
図９において図３と同一構成要素には、同一の符号を付し、その説明を省略する。情報判定装置３０と情報判定装置３０ａの相違点は、特定可否判定部２０５ａの動作と、準識別子記憶部２０６ａが保持する内容と、匿名化可能データ数更新部（第３の判定部）２０９をさらに備える点である。

特定可否判定部２０５ａの基本的な機能及び動作は、特定可否判定部２０５の機能及び動作と同じである。相違する点は、特定可否判定部２０５ａは、データセットから個人が特定され得るか否かの判定がなされたデータセットを匿名化可能データ数更新部２０９に引き渡す点である。また、特定可否判定部２０５ａは、匿名化可能データ数更新部２０９から、データセット及び判定結果の出力指示を受けた後、データセット及び判定結果を保持データ更新部２０７に引き渡す。

準識別子記憶部２０６ａは、準識別子と、細分化された準識別子に区分されるデータが取り得る値とをカテゴリ分けして記憶する。なお、システム管理者は、準識別子に区分されたデータを所定の分類にカテゴリ分けし、準識別子記憶部２０６ａに登録するものとする。より具体的には、システム管理者は、各準識別子が取り得る値を、ストリームデータを利用する業者にとってデータとして意味のある抽象度にて分類し、「分類名：値１、値２、・・・、値ｍ」のようなフォーマットにて準識別子記憶部２０６ａに登録する。ここで、「データとして意味のある抽象度にて分類」とは、準識別子の各値を、当該分類の程度まで抽象化したとしても、データが情報として意味がある単位にて分類することである。なお、準識別子記憶部２０６ａは、第１の実施形態にて説明した、システム管理者が登録する準識別子も記憶する。

図１０は、準識別子記憶部２０６ａの保持する準識別子とそのカテゴリ分けの一例を示す図である。例えば、図１０を参照すると、「職業」の準識別子の取り得る値として、アナウンサー、学芸員、塾講師、エンジニア、医師、一般事務員、受付等が例示されている。これらのうちアナウンサーや学芸員等は「専門」に割り振られ、エンジニアや医師等は「技術」に割り振られている。このように、準識別子記憶部２０６ａは、複数の分類にカテゴリ分けされた、準識別子に区分されるデータが取り得る値（例えば、アナウンサー、エンジニア等）と、該複数のカテゴリの夫々を代表するデータ（例えば、「専門」、「技術」等の分類名）との関係を規定する情報を記憶する。

匿名化可能データ数更新部２０９は、匿名化装置４０においてデータセットが匿名化された場合の抽象度を適切に保つように、匿名化の対象となるデータセットに含まれるデータ数を調整する手段である。匿名化可能データ数更新部２０９は、特定可否判定部２０５ａからデータセットを取得した際に、当該データセットに対して匿名化処理を施すと過度に抽象度が高くなり、無価値な情報に該当するか判定する。より具体的には、匿名化可能データ数更新部２０９は、特定可否判定部２０５ａにてデータセットから個人が特定されると判定された場合に、同種の準識別子に区分される１以上のデータを、準識別子記憶部２０６ａが記憶する情報を用いて変換する。この同種の準識別子に区分される１以上のデータとは、判定が下されたデータセットを構成する複数のストリームデータのそれぞれに含まれるものである。

例えば、図８を参照すると、図８に示すデータセットはストリームデータＤ１〜Ｄ３が含まれている。システム管理者が登録した準識別子が「年齢」である場合には、ストリームデータＤ１〜Ｄ３に含まれるデータのうち、「年齢」に区分されるデータは互いに異なる。そのため、特定可否判定部２０５ａは、データセットにより個人が特定可能と判定する。その後、匿名化可能データ数更新部２０９は、ストリームデータＤ１〜Ｄ３に含まれる「年齢」に区分されるデータを、準識別子記憶部２０６ａに記憶された情報に基づき変換する。より具体的には、匿名化可能データ数更新部２０９は、ストリームデータＤ１とＤ３の「年齢」を「２０代」、ストリームデータＤ２の「年齢」を「５０代」に、それぞれ変換する。

その後、匿名化可能データ数更新部２０９は、変換後のデータを含む複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する。その際の具体的な手法は、第１の実施形態にて説明したとおりである。図８に示すデータセットにおける、準識別子に区分されるデータ変換の例では、ストリームデータＤ１とＤ３の年齢はそれぞれ「２０代」に変換される。そのため、匿名化可能データ数更新部２０９は、当該２つのストリームデータからは個人が特定されないと判定する。但し、この場合には、ストリームデータＤ２の年齢が「５０代」であるので、ストリームデータＤ１〜Ｄ３からなるデータセットに対する判定は、個人が特定可能となる。

さらに、匿名化可能データ数更新部２０９は、匿名化されたデータセットが無価値になると判断した場合には、匿名化可能データ数記憶部２０４が記憶する匿名化可能データ数を所定数分大きくする。匿名化可能データ数記憶部２０４が記憶する匿名化可能データ数が大きくなれば、データセット内にて同じ準識別子の値を持つストリームデータが存在する確率が上がるためである。例えば、図８を参照して説明した上述の例では、ストリームデータＤ２の年齢が「５０代」であるため、個人が特定可能である。そのため、図８に示す３つのストリームデータＤ１〜Ｄ３を匿名化装置４０に送信すると、「年齢」が過度に抽象化される可能性がある。従って、このような場合に、匿名化可能データ数更新部２０９は、匿名化されたデータセットは無価値なものと判断する。匿名化可能データ数更新部２０９は、判断した結果、匿名化可能データ数記憶部２０４が保持する匿名化可能データ数を大きくすることで、データセットを構成するストリームデータの数を多くする。データセットを構成するストリームデータの数が多くなれば、同じ準識別子に区分されるデータが存在する確率が上昇し、データセットからの個人の特定を不可能にする。上述の例では、ストリームデータＤ１〜Ｄ３に追加されたストリームデータの準識別子「年齢」に区分されるデータであって、変換後のデータが「５０代」となれば、当該データを含むストリームデータが追加されたデータセットから個人が特定できなくなくなる。

図１１は、匿名化可能データ数更新部２０９の動作の一例を示すフローチャートである。

ステップＳ２０１において、匿名化可能データ数更新部２０９は、特定可否判定部２０５ａからデータセットを取得する。

ステップＳ２０２において、匿名化可能データ数更新部２０９は、データセットを構成する各ストリームデータの準識別子に区分されるデータを、準識別子記憶部２０６ａが保持する分類名に変換する。例えば、匿名化可能データ数更新部２０９は、準識別子「職業」が取る値が「エンジニア」であれば、「技術」に変換し、変換後のデータセットを生成する。

ステップＳ２０３において、匿名化可能データ数更新部２０９は、変換後のデータセットに関し、個人が特定され得るストリームデータが含まれるか否かを判定する。その際の具体的な判定方法は、第１の実施形態にて説明した内容と同一でよいため説明を省略する。

変換後のデータセットに個人が特定され得るストリームデータが含まれる場合（ステップＳ２０３、Ｙｅｓ分岐）には、準識別子記憶部２０６ａにて格納されている分類よりも抽象度を高くしなければ、個人が特定される可能性が高いことを意味する。一方で、これ以上、抽象度を高めてしまうと、情報として無価値になるとシステム管理者が判断しているため、データセットを構成するデータ数を増やし、同じ準識別子の値を持つストリームデータが存在する確率を上昇させる処理を行う。そこで、匿名化可能データ数更新部２０９は、匿名化可能データ数記憶部２０４が記憶する匿名化可能データ数の値を大きくする（ステップＳ２０４）。

なお、ステップＳ２０４の処理が終了した後は、匿名化可能データ数更新部２０９は処理を終了する。これにより、特定可否判定部２０５ａは、更新された匿名化可能データ数を用いて、再び、データセットから個人が特定され得るか否かを判定する。その場合、更新された匿名化可能データ数を用いて、判定が下されたデータセットに対して、匿名化可能データ数更新部２０９は、ステップＳ２０１〜Ｓ２０３の処理を繰り返す。

匿名化可能データ数の増加と変換後のデータセットに対する判定処理が繰り返された結果、変換後のデータセットに個人が特定され得るストリームデータが含まれないと判定された場合（ステップＳ２０３、Ｎｏ分岐）には、ステップＳ２０５に処理を進める。この場合、システム管理者が考える上限の抽象化により、個人が特定されることは回避できることになる。そこで、匿名化可能データ数更新部２０９は、特定可否判定部２０５ａに対して、データセット及び判定結果の出力指示を行う（ステップＳ２０５）。

あるいは、匿名化可能データ数更新部２０９は、変換後のデータセットから個人が特定可能ではない（ステップＳ２０３、Ｎｏ分岐）と判定した後、匿名化可能データ数記憶部２０４が記憶する匿名化可能データ数の値を所定数分小さくしてもよい。その場合には、匿名化可能データ数更新部２０９は、匿名化可能データ数を順次小さくする。そして、情報判定装置３０ａは、匿名化可能データ数更新部２０９による図１１に示す処理と、特定可否判定部２０５ａによる再判定処理とを繰り返す。その後、匿名化可能データ数更新部２０９は、匿名化可能データ数が下限を示す（ステップＳ２０３にてＹｅｓ分岐となる）際の１サイクル前の匿名化可能データ数におけるデータセットを出力する指示を行う。

なお、第２の実施形態では、過度な抽象化によりデータセットが無価値とならないように、システム管理者が、準識別子に区分されるデータが取り得る値をカテゴリ分けして、準識別子記憶部２０６ａに記憶させる。つまり、システム管理者が、サーバ５０から提供されるサービスの性質と匿名化装置４０での匿名化処理の内容を勘案し、準識別子記憶部２０６ａが記憶する内容を定めている。そのため、情報判定装置３０ａは、準識別子を変換した後のデータセットではなく、データ記憶部２０２が保持するデータセットを、匿名化装置４０に送信する。

一方で、情報判定装置３０ａは、匿名化装置４０に対して、準識別子を変換した後の複数のストリームデータからなるデータセットを送信してもよい。この場合には、匿名化装置４０における一部の処理を、情報判定装置３０ａに取り込むことになるため、匿名化装置４０の負荷が軽減できる。

以上のように、第２の実施形態に係る匿名化可能データ数更新部２０９は、特定可否判定部２０５ａにて判定が下されたデータセットを構成するストリームデータの準識別子に区分されるデータを、準識別子記憶部２０６ａに記憶された情報に基づき変換する機能を備える。また、匿名化可能データ数更新部２０９は、準識別子を変換したデータセットから、個人が特定され得るか否かを判定する機能を備える。さらに、匿名化可能データ数更新部２０９は、必要に応じて、匿名化可能データ数を更新する機能を備える。

第２の実施形態に係る情報判定装置３０ａは、データセットを匿名化した場合に抽象化が過度に高くなると判断した場合に、匿名化可能データ数の値を調整する。その結果、匿名化装置４０での匿名化処理にて、データセットに含まれるデータの抽象度が過度に高くなる可能性を低減できる。

［第３の実施形態］
続いて、第３の実施形態について図面を参照して詳細に説明する。

第１の実施形態に係る情報判定装置３０は、ストリームデータに対する個人の特定可否を判定している。しかし、ストリームデータは時々刻々と追加されるデータである。そのため、あるタイミングにて情報判定装置３０から匿名化装置４０に送られるデータセットだけからは個人が特定できないとしても、他のタイミングにて送信された複数のデータセットを組み合わせると個人が特定できる可能性がある。

例えば、時刻Ｔ０の時点におけるデータセットが図１２の（ａ）、時刻Ｔ１の時点におけるデータセットが図１２の（ｂ）、時刻Ｔ２の時点におけるデータセットが図１２の（ｃ）とする。なお、図１２では、ストリームデータのソースであるモバイル端末２０を識別するＩＤ（Identifier）も、モバイル端末２０から情報判定装置３０に送信されるものとする。

図１２を参照すると、準識別子が「性別」と「年齢」であった場合、第１の実施形態に係る情報判定装置３０は、各データセットから個人を特定できないと判定する。その結果、匿名化装置４０は、各データセットに対する匿名化処理は行われず、ＩＤを匿名ＩＤに置換し、サーバ５０に送信する。具体的には、匿名化装置４０は、図１２の（ａ）に示すデータセットを図１３の（ａ）に、図１２の（ｂ）に示すデータセットを図１３の（ｂ）に、図１２の（ｃ）に示すデータセットを図１３の（ｃ）にそれぞれ変換する。そして、匿名化装置４０は、変換したデータセットをサーバ５０に送信する。その結果、３つのデータセットのそれぞれに、「００Ａ」という匿名ＩＤが含まれることになる。そのため、これらの３つのデータセットを受信したサーバ５０（アプリケーション開発者）は、「匿名ＩＤ＝００Ａ」の人物が、２２歳の男性で、（Ｘ１、Ｙ１）にある会社に勤務していると個人を特定する可能性がある。

第３の実施形態に係る情報判定装置３０ｂは、複数のデータセットを組み合わせることで個人が特定できるか否かを判定すると共に、その可能性を低減させる。

図１４は、第３の実施形態に係る情報判定装置３０ｂの内部構成の一例を示す図である。図１４において図３と同一構成要素には、同一の符号を付し、その説明を省略する。情報判定装置３０と情報判定装置３０ｂの相違点は、特定可否判定部２０５ｂの動作と、送信済みデータセット記憶部（第２の記憶部）２１０をさらに備える点である。

特定可否判定部２０５ｂは、データ記憶部２０２に記憶されたデータセットに基づいて個人が特定されると判定した場合に、データ記憶部２０２と送信済みデータセット記憶部２１０に記憶されたデータセットに基づいて個人が特定されるか否かを再び判定する手段である。これにより、特定可否判定部２０５ｂは、複数のデータセットを組み合わせることで個人が特定できるか否かを判定する。

より具体的には、特定可否判定部２０５ｂは、個人が特定されると判定したデータセットに含まれる複数のストリームデータのうち、同種の準識別子に区分される１以上のデータを含まないストリームデータが、送信済みデータセット記憶部２１０に記憶されたデータセットに存する回数を計数する。ここで、同種の準識別子に区分される１以上のデータを含まないストリームデータとは、個人が特定され得るストリームデータである。そして、特定可否判定部２０５ｂは、計数した回数が所定の値以上の場合に、判定したデータセットに基づいて個人が特定されるか否かを判定する。つまり、特定可否判定部２０５ｂは、データ記憶部２０２に格納されている各ストリームデータについて、過去一定期間に送信したデータセットに、一定回数以上同じ準識別子に区分されるデータを持つストリームデータが存在する場合に、個人が特定され得ると判定する。なお、上記の「一定期間」や「一定回数」は、システム管理者が予め情報判定装置３０ｂに設定する値である。また、特定可否判定部２０５ｂは、送信部２０８を介して匿名化装置４０に送信するデータセットを、送信済みデータセット記憶部２１０に格納する。

送信済みデータセット記憶部２１０は、情報判定装置３０ｂが匿名化装置４０に送信したデータセットを記憶する手段である。

図１５は、特定可否判定部２０５ｂの動作の一例を示すフローチャートである。

特定可否判定部２０５ｂは、データ数判定部２０３からストリームデータを受信（ステップＳ３０１）した際、データ記憶部２０２が保持するデータセットから個人が特定され得るか判定する（ステップＳ３０２）。なお、その際の具体的な判定方法は、第１の実施形態にて説明した方法と同様でよいため、さらなる説明を省略する。

データセットから個人が特定され得る場合（ステップＳ３０２、Ｙｅｓ分岐）には、特定可否判定部２０５ｂは、データセット及び判定結果を保持データ更新部２０７に引き渡す（ステップＳ３０３）。この場合の判定結果は「特定可能」であるため、データセットを受信した匿名化装置４０は、当該データセットを匿名化する。

一方、データセットから個人が特定されない場合（ステップＳ３０２、Ｎｏ分岐）には、特定可否判定部２０５ｂは、過去のデータセットから個人が特定され得るか否かを判定する（ステップＳ３０４）。具体的には、特定可否判定部２０５ｂは、データ記憶部２０２が保持するデータセットを構成する各ストリームデータについて、過去一定期間内に送信したデータセットに、一定回数以上、同じ準識別子に区分されるデータを持つストリームデータが存在するか否かを検証する。これにより、特定可否判定部２０５ｂは、現時点のデータセットと過去のデータセットとを組み合わせて個人が特定され得るか否かを判定する。なお、「一定期間」は所定数のデータセットとしてもよい。また、より具体的な、判定方法は後述する。

特定可否判定部２０５ｂは、過去のデータセットと組み合わせても個人が特定されないと判定した場合（ステップＳ３０４、Ｎｏ分岐）には、ステップＳ３０３の処理を実行する。この場合、現時点でのデータセットは、ステップＳ３０２にて、現時点でのデータセットから個人が特定されないと判定されている。さらに、ステップＳ３０４にて、過去のデータセットからも個人が特定されないと判定されている。従って、匿名化装置４０において、現時点でのデータセットを匿名化しなくとも、個人が特定される可能性は低い。そこで、特定可否判定部２０５ｂは、ステップＳ３０４を経由して、ステップＳ３０３の処理を実行する場合には、判定結果に「特定不能」を設定し、データセットを添えて保持データ更新部２０７に引き渡す。

特定可否判定部２０５ｂは、過去のデータセットと組み合わせると個人が特定されると判定した場合（ステップＳ３０４、Ｙｅｓ分岐）には、送信済みデータセット記憶部２１０に格納されているデータセットのうち、予め定めた一定期間を経過したデータセットを削除する（ステップＳ３０５）。さらに、特定可否判定部２０５ｂは、現時点においてデータ記憶部２０２が保持するデータセットと現在時刻からなるデータのペアを送信済みデータセット記憶部２１０に追加し、更新する。

ステップＳ３０６において、特定可否判定部２０５ｂは、データセット、判定結果、過去のデータセットと組み合わせて個人が特定され得るストリームデータ（被疑データと表記する）を、保持データ更新部２０７に引き渡す。この場合、送信しようとするデータセットから個人が特定可能ではないが、過去のデータセットを考慮すれば、個人が特定される可能性が高い。そのため、特定可否判定部２０５ｂは、判定結果として「特定不明」を設定するなど、「特定可能」や「特定不能」と区別することが望ましい。なお、「特定不明」を示す判定結果を受信した匿名化装置４０は、受信したデータセットに対して匿名化処理を施せば、個人が特定される可能性が減少する。

あるいは、特定可否判定部２０５ｂは、被疑データの準識別子の値を操作（例えば、準識別子が年齢であれば、データ値に＋１とする等の処理）する等の処理を行うことにより、過去のデータセットとの組み合わせを困難にしてもよい。

次に、図１５におけるステップＳ３０４の詳細について説明する。

図１６は、過去のデータセットと組み合わせて個人が特定され得るか否かを判定する処理の一例を示すフローチャートである。なお、図１６では、データセットを構成するデータのうち、ステップＳ３０２にて個人が特定され得ると判定されたストリームデータをデータＡと表記する。また、データＡを格納する変数をｘとし、データＡが過去の一定期間内に送信されたデータセットに出現する回数をカウントする変数をｙとする。

ステップＳ４０１において、特定可否判定部２０５ｂは、変数ｘ及びｙを初期化する。

ステップＳ４０２において、特定可否判定部２０５ｂは、送信済みデータセット記憶部２１０が保持するデータセットについて、データＡの準識別子に区分されるデータと同じデータが存在するか否かを判定する。このようなデータが存在すれば（ステップＳ４０２、Ｙｅｓ分岐）、特定可否判定部２０５ｂは、変数ｙをインクリメント（ｙ＝ｙ＋１）する（ステップＳ４０３）。同じデータが出現しなければ（ステップＳ４０２、Ｎｏ分岐）、特定可否判定部２０５ｂは、特段の処理を行わない。

ステップＳ４０４において、特定可否判定部２０５ｂは、送信済みデータセット記憶部２１０が保持する過去に送信済みのデータセットであって、予め定めた一定期間内の各データセットに関し、ステップＳ４０２の処理が終了したか否かを判定する。つまり、特定可否判定部２０５ｂは、上記データセットに対し、準識別子に区分されるデータが同じデータが存在するかを確認する処理が終了したか否かを判定する。必要なデータセットの確認が終了していなければ（ステップＳ４０４、Ｎｏ分岐）、特定可否判定部２０５ｂは、ステップＳ４０２以降の処理を繰り返す。

必要なデータセットの確認が終了していれば（ステップＳ４０４、Ｙｅｓ分岐）、特定可否判定部２０５ｂは、変数ｙと予め定めた値（一定値）との比較を行う（ステップＳ４０５）。

比較した結果、変数ｙが一定値以上であれば（ステップＳ４０５、Ｙｅｓ分岐）、特定可否判定部２０５ｂは、変数ｘにデータＡをセットする（ステップＳ４０６）。データＡがセットされた変数ｘは、被疑データとして扱われる。比較した結果、変数ｙが一定値未満であれば（ステップＳ４０５、Ｎｏ分岐）、特定可否判定部２０５ｂは、特段の処理を行わない。

以上のように、第３の実施形態に係る情報判定装置３０ｂは、複数のデータセットを組み合わせることで個人が特定できるか否かを判定する。また、情報判定装置３０ｂは、過去のデータセットと組み合わせることで、個人が特定され得るストリームデータを被疑データとして匿名化装置４０に送信することで、個人が特定される可能性を低減させる。

［第４の実施形態］
続いて、第４の実施形態について図面を参照して詳細に説明する。

第１の実施形態に係る情報判定装置３０及び匿名化装置４０では、モバイル端末２０からの受信データをサーバ５０に転送している。しかし、情報判定装置３０又は匿名化装置４０にて、サーバ５０に送信するデータセットを絞り込むようなシステムも考えられる。

例えば、情報判定装置３０に特定の条件（ルール）を設定しておき、当該条件を満たすデータセットに限り、サーバ５０に受信データを送信するようなシステムが考えられる。
このような場合、情報判定装置３０に複数の条件が設定され、各条件を満たすデータセットがサーバ５０に送信された場合に、各データセットを統合することで、個人が特定される可能性がある。

例えば、サーバ５０にて実現されるアプリケーションが、特定の条件を満たすストリームデータを配信するソース（モバイル端末２０）にクーポンを配信するクーポン配信サービスであることを考える。その場合、位置情報が駅Ａから半径５００ｍ以内にいるユーザにレストランＡの割引券付きであるクーポン１を配信し、駅Ａから半径３００ｍ以内にいるユーザにレストランＢの割引券付きであるクーポン２を配信するとする。

このとき、サーバ５０は、クーポン１を配信するために、位置が駅Ａから半径５００ｍ以内である情報を含むデータセットとして、情報判定装置３０から図１７の（ａ）に示すデータセットを受信したものとする。また、サーバ５０は、クーポン２を配信するために、位置が駅Ａから半径３００ｍ以内である情報を含むデータセットとして、情報判定装置３０から図１７の（ｂ）に示すデータセットを受信したものとする。

すると、ｋ−匿名化処理（ｋ＝２、準識別子は年齢と職業とする）を実行することで、２つのデータセットに限り利用する場合には、個人を特定することはできない。しかし、２つのデータセット（図１７の（ａ）と図１７の（ｂ）のデータセット）を統合すると、駅Ａから半径３００ｍから５００ｍの間に位置するソース（モバイル端末２０）のストリームデータは、図１７の（ａ）のストリームデータＤ３であることが判明し、個人が特定される可能性がある。

第４の実施形態に係る情報判定装置３１では、複数の条件から絞り込まれて取得したデータセットを組み合わせることで、個人が特定できるか否かを判定する。なお、第４の実施形態に係る情報判定装置３１は、第１の実施形態に係る情報判定装置３０と匿名化装置４０の間に配置され、動作するものとする（図１８参照）。

情報判定装置３０には、データセットを送信する際に判定される複数の条件が設定されており、各条件とサービスが関連付けられて管理されている。そこで、情報判定装置３０は、特定の条件に関連付けされたサービスを識別するＩＤ（サービスＩＤ）と共にデータセットを送信するものとする。

図１９は、第４の実施形態に係る情報判定装置３１の内部構成の一例を示す図である。
図１９を参照すると、情報判定装置３１は、受信部４０１と、データセット記憶部４０２と、特定可否判定部４０３と、準識別子記憶部４０４と、送信部４０５と、を含んで構成される。

受信部４０１は、情報判定装置３０から受信したサービスＩＤとデータセットを、データセット記憶部４０２に格納する。なお、データセット記憶部４０２は、０個以上のサービスＩＤとデータセットのペアを保持する（図２０参照）。受信部４０１は、受信したサービスＩＤに対応する、データセット記憶部４０２に格納されたサービスＩＤのカラムのデータセットを、受信したデータセットに更新する。次に、受信部４０１は、受信したサービスＩＤとデータセットを特定可否判定部４０３に引き渡す。

特定可否判定部４０３は、複数の条件に基づいて取得したデータセットを組み合わせた場合に、個人が特定され得るか否かを判定する。ここで、情報判定装置３０に設定されている条件がｚ個存在する場合に、各データセットは、最大２^Ｚの数のグループに分類される。例えば、情報判定装置３０に設定されている条件が２つ（条件１、条件２）の場合を考える。この場合、条件１、条件２いずれも適用されない場合、条件１が適用される場合、条件２が適用される場合、条件１及び条件２が共に適用される場合、の４グループに分類される。

その後、特定可否判定部４０３は、分類された各グループを構成するデータセットについて、第１の実施形態にて説明した準識別子を用いた個人の特定可否に関する判定を行う。

送信部４０５は、取得した判定結果とデータセットを、匿名化装置４０に送信する。準識別子記憶部４０４は、第１の実施形態にて説明した準識別子記憶部２０６と同様に、準識別子を記憶する。

情報判定装置３１の動作の概略をまとめると、図２１に示すフローチャートのとおりとなる。

ステップＳ５０１において、受信部４０１は、情報判定装置３０からデータセットとサービスＩＤを受信する。その後、受信部４０１は、データセット記憶部４０２のデータセットを受信したデータセットに更新する（ステップＳ５０２）。併せて、受信部４０１は、受信したデータセットとサービスＩＤを、特定可否判定部４０３に引き渡す。

ステップＳ５０３において、特定可否判定部４０３は、サービスＩＤを取得した際に、データセット記憶部４０２が保持するデータセットから個人が特定され得るか判定する。
その後、特定可否判定部４０３は、データセットと判定結果を、送信部４０５に引き渡す。

ステップＳ５０４において、送信部４０５は、データセットと判定結果を、匿名化装置４０に送信する。なお、ステップＳ５０３における判定の結果、個人が特定できる場合には、たとえ、当該データセット単独では個人が特定できない場合であっても、送信部４０５は、判定結果として「特定可能」を匿名化装置４０に送信する。これにより、匿名化装置４０は、当該データセットに対して匿名化処理を施すことになるため、該データセットから個人が特定され得る可能性を低減できる。

以上のように、第４の実施形態に係る情報判定装置３１は、複数の条件から絞り込まれて取得したデータセットを組み合わせることで、個人が特定できるか否かを判定し、個人が特定され得る可能性を低減する。

なお、第１乃至第４の実施形態にて説明したデータ処理システムの構成（図２、図１８）は例示であって、システムの構成を限定する趣旨ではない。例えば、情報判定装置３０の機能が匿名化装置４０に組み込まれていてもよい。あるいは、第４の実施形態にて説明した情報判定装置３１は、情報判定装置３０、３０ａ、３０ｂの機能の一部として実装されていてもよい。

また、情報判定装置３０等のデータ数判定部２０３、特定可否判定部２０５、保持データ更新部２０７等の各部が行う処理は、情報判定装置３０に搭載されたコンピュータに、そのハードウェアを用いて、上述した各処理を実行させるコンピュータプログラムにより実現できる。つまり、データ数判定部２０３等が行う機能を何らかのハードウェア、及び／又は、ソフトウェアで実行する手段があればよい。

さらに、コンピュータの記憶部に、上述したコンピュータプログラムをインストールすることにより、コンピュータを情報判定装置として機能させることができる。さらにまた、上述したコンピュータプログラムをコンピュータに実行させることにより、コンピュータによりデータセットから個人が特定できるか否かの判定方法を実行することができる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。

［付記１］
時系列に沿って取得されたストリームデータを記憶する第１の記憶部と、
前記第１の記憶部に記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定部と、
前記第１の記憶部に記憶されたストリームデータの数が所定値以上の場合に、前記第１の記憶部に記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定し、前記判定に用いたデータセットと判定結果とを出力する第２の判定部と、
を備える情報判定装置。

［付記２］
前記第１の記憶部に記憶されたストリームデータは、他の値と組み合わせることで、個人を特定し得る準識別子に区分されるデータを含み、
前記第２の判定部は、前記第１の記憶部に記憶された複数のストリームデータのそれぞれに含まれ、同種の準識別子に区分される１以上のデータが不一致の場合に、個人が特定されると判定する、付記１に記載の情報判定装置。

［付記３］
前記第２の判定部から、該第２の判定部が前記判定に用いたデータセットと前記判定結果とを取得した場合に、前記第１の記憶部に対して、前記判定に用いたデータセットに相当するデータセットの削除を指示するデータ更新部をさらに備える付記１又は２に記載の情報判定装置。

［付記４］
準識別子に区分されるデータが取り得る値は複数のカテゴリに分けられており、
前記複数のカテゴリを代表するデータと各カテゴリに含まれるデータとの関係を規定する情報に基づいて、前記各カテゴリに含まれるデータを、前記カテゴリを代表するデータに変換し、前記変換後のデータを含む複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する第３の判定部をさらに備える付記１乃至３のいずれか一に記載の情報判定装置。

［付記５］
前記第３の判定部は、個人が特定できると判定した場合に、前記第１の判定部にて使用する所定値を所定数分大きくし、
個人が特定できないと判定した場合に、前記第１の判定部にて使用する所定値を所定数分小さくする、付記４に記載の情報判定装置。

［付記６］
前記第２の判定部が過去に出力した、該第２の判定部が前記判定に用いたデータセットを記憶する第２の記憶部をさらに備え、
前記第２の判定部は、前記第１の記憶部に記憶されたデータセットに基づいて個人が特定されると判定した場合に、前記第１及び第２の記憶部に記憶されたデータセットに基づいて個人が特定されるか否かを再び判定することで、前記判定に用いたデータセットに基づいて個人が特定されるか否かを判定する、付記１乃至５のいずれか一に記載の情報判定装置。

［付記７］
前記第２の判定部は、個人が特定されると判定したデータセットに含まれる複数のストリームデータのうち、同種の準識別子に区分される１以上のデータを含まないストリームデータが、前記第２の記憶部に記憶されたデータセットに存する回数を計数し、計数した回数が所定の値以上の場合に、前記判定に用いたデータセットに基づいて個人が特定されるか否かを再び判定する、付記６に記載の情報判定装置。

［付記８］
外部から供給されるストリームデータを受信し、前記第１の記憶部に記憶する受信部と、
前記第２の判定部により判定されたデータセット及び前記判定結果を、外部に出力する送信部と、をさらに備える付記１乃至７のいずれか一に記載の情報判定装置。

［付記９］
前記第１の記憶部に記憶されるストリームデータには、ストリームデータを生成する生成装置に関するデータと、前記生成装置の保持者に関するデータと、前記生成装置が計測した情報に基づき生成されるデータと、を含む付記１乃至８のいずれか一に記載の情報判定装置。

［付記１０］
時系列に沿って取得された複数のストリームデータからなるデータセットであって、所定の規則に基づいて絞り込まれた、複数のデータセットを記憶する記憶部と、
前記絞り込まれた複数のデータセットを組み合わせることで、前記取得されたストリームデータに関係する個人が特定されるか否かを判定する判定部と、
を備える情報判定装置。

［付記１１］
時系列に沿って取得されたストリームデータを記憶し、
前記記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定を行い、
前記記憶されたストリームデータの数が所定値以上の場合に、前記記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する第２の判定を行い、
前記第２の判定に用いたデータセットと判定結果とを出力する、
情報判定方法。

［付記１２］
時系列に沿って取得されたストリームデータを記憶する処理と、
前記記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定を行う処理と、
前記記憶されたストリームデータの数が所定値以上の場合に、前記記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する第２の判定を行う処理と、
前記第２の判定に用いたデータセットと判定結果とを出力する処理と、
を情報判定装置に搭載されたコンピュータに実行させるプログラムを記録するコンピュータ読み取り可能な記録媒体。

［付記１３］
付記１乃至１０のいずれか一に記載の情報判定装置と、
前記情報判定装置が送信するデータセットに対する匿名化処理の実施を、前記判定結果に基づいて定める匿名化装置と、
を含むデータ処理システム。

なお、付記１１〜付記１３の各形態は、付記１と同様に、付記２〜付記９の形態に展開することが可能である。

なお、引用した上記の非特許文献の開示は、本書に引用をもって繰り込むものとする。
本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

この出願は、２０１４年２月４日に出願された日本出願特願２０１４−０１９４３９を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１０ ネットワーク
２０、２０−１〜２０−ｎ モバイル端末
３０、３０ａ、３０ｂ、３１、１００ 情報判定装置
４０ 匿名化装置
５０ サーバ
１０１ 第１の記憶部
１０２ 第１の判定部
１０３ 第２の判定部
２０１、３０１、４０１ 受信部
２０２ データ記憶部
２０３ データ数判定部
２０４ 匿名化可能データ数記憶部
２０５、２０５ａ、２０５ｂ、４０３ 特定可否判定部
２０６、２０６ａ、４０４ 準識別子記憶部
２０７ 保持データ更新部
２０８、３０３、４０５ 送信部
２０９ 匿名化可能データ数更新部
２１０ 送信済みデータセット記憶部
３０２ 匿名化部
４０２ データセット記憶部

Claims (10)

1. 時系列に沿って取得されたストリームデータを記憶する第１の記憶手段と、
   前記第１の記憶手段に記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定手段と、
   前記第１の記憶手段に記憶されたストリームデータの数が所定値以上の場合に、前記第１の記憶手段に記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定し、前記判定に用いたデータセットと判定結果とを出力する第２の判定手段と、
   を備える情報判定装置。
2. 前記第１の記憶手段に記憶されたストリームデータは、他の値と組み合わせることで、個人を特定し得る準識別子に区分されるデータを含み、
   前記第２の判定手段は、前記第１の記憶手段に記憶された複数のストリームデータのそれぞれに含まれ、同種の準識別子に区分される１以上のデータが不一致の場合に、個人が特定されると判定する、請求項１に記載の情報判定装置。
3. 前記第２の判定手段から、該第２の判定手段が前記判定に用いたデータセットと前記判定結果とを取得した場合に、前記第１の記憶手段に対して、前記判定に用いたデータセットに相当するデータセットの削除を指示するデータ更新手段をさらに備える請求項１又は２に記載の情報判定装置。
4. 準識別子に区分されるデータが取り得る値は複数のカテゴリに分けられており、
   前記複数のカテゴリを代表するデータと各カテゴリに含まれるデータとの関係を規定する情報に基づいて、前記各カテゴリに含まれるデータを、前記カテゴリを代表するデータに変換し、前記変換後のデータを含む複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する第３の判定手段をさらに備える請求項１乃至３のいずれか一項に記載の情報判定装置。
5. 前記第３の判定手段は、個人が特定できると判定した場合に、前記第１の判定手段にて使用する所定値を所定数分大きくし、
   個人が特定できないと判定した場合に、前記第１の判定手段にて使用する所定値を所定数分小さくする、請求項４に記載の情報判定装置。
6. 前記第２の判定手段が過去に出力した、該第２の判定手段が前記判定に用いたデータセットを記憶する第２の記憶手段をさらに備え、
   前記第２の判定手段は、前記第１の記憶手段に記憶されたデータセットに基づいて個人が特定されると判定した場合に、前記第１及び第２の記憶手段に記憶されたデータセットに基づいて個人が特定されるか否かを再び判定することで、前記判定に用いたデータセットに基づいて個人が特定されるか否かを判定する、請求項１乃至５のいずれか一項に記載の情報判定装置。
7. 前記第２の判定手段は、個人が特定されると判定したデータセットに含まれる複数のストリームデータのうち、同種の準識別子に区分される１以上のデータを含まないストリームデータが、前記第２の記憶手段に記憶されたデータセットに存する回数を計数し、計数した回数が所定の値以上の場合に、前記判定に用いたデータセットに基づいて個人が特定されるか否かを再び判定する、請求項６に記載の情報判定装置。
8. 外部から供給されるストリームデータを受信し、前記第１の記憶手段に記憶する受信手段と、
   前記第２の判定手段により判定されたデータセット及び前記判定結果を、外部に出力する送信手段と、をさらに備える請求項１乃至７のいずれか一項に記載の情報判定装置。
9. 時系列に沿って取得されたストリームデータを記憶し、
   前記記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定を行い、
   前記記憶されたストリームデータの数が所定値以上の場合に、前記記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する第２の判定を行い、
   前記第２の判定に用いたデータセットと判定結果とを出力する、
   情報判定方法。
10. 時系列に沿って取得されたストリームデータを記憶する処理と、
    前記記憶されたストリームデータの数が所定値以上か否かを判定する第１の判定を行う処理と、
    前記記憶されたストリームデータの数が所定値以上の場合に、前記記憶された複数のストリームデータからなるデータセットに基づいて個人が特定されるか否かを判定する第２の判定を行う処理と、
    前記第２の判定に用いたデータセットと判定結果とを出力する処理と、
    を情報判定装置に搭載されたコンピュータに実行させるプログラムを記録するコンピュータ読み取り可能な記録媒体。

Images