JPWO2019168144A1 - 情報処理装置、情報処理システム、情報処理方法、及び、プログラム - Google Patents

Abstract

匿名化の比較に用いるための値を算出するため、本発明の情報処理装置は、確信度を算出するモデルを用いて匿名化前データにおける確信度である匿名化前確信度を算出する匿名化前確信度算出手段と、匿名化前データに匿名化手法を適用して匿名化後データを作成する匿名化手段と、匿名化手法の匿名化強度を算出する匿名化強度算出手段と、モデルを用いて、匿名化後データにおける確信度である匿名化後確信度を算出する匿名化後確信度算出手段と、匿名化前確信度と匿名化後確信度との差と、匿名化強度とを基に匿名化手法の評価値を算出する評価値算出手段とを含む。

Description

本発明は、情報の処理に関し、特に、情報の匿名化に関する。

機械学習又はディープラーニングなどの技術を用いてビックデータなどの大量の個人情報の解析（ビックデータ解析）を基に、多数の人々の行動及び嗜好などを精緻に分析することができる。このような分析を基に、大量の個人情報を用いた新たな製品又はサービスの開発が、求められている。このような、所定のコンテンツを処理する技術が、提案されている（例えば、特許文献１を参照）。

ただし、個人情報の扱いにおいては、機微情報（センシティブ情報）の保護を考慮する必要がある。例えば、分析などのために個人情報を第三者に提供する場合、その個人（本人）からの同意が必要である。大量の個人情報を分析するためには、多数の個人から同意を得ることが必要である。その工数は膨大であり、費用は非常に高くなる。あるいは、本人が承諾しない、又は、本人を所在地が不明であるなど、本人の同意を得ることができない場合もある。そのため、個人情報の第三者での利用は、容易ではなかった。

そこで、個人情報の利用を促進するような法令が制定されてきている。例えば、個人を識別することができないように加工された個人情報は、本人の同意なしに第三者が利用できるようになってきている。そこで、個人が識別することができないように個人情報を加工する技術が、提案されている。

個人を識別することができないように個人情報を加工する技術の一つして、匿名化がある（例えば、特許文献２ないし４を参照）。匿名化の処理は、まず、単独で個人を特定できる属性（「識別子」と呼ばれる）を削除する。さらに、匿名化の処理は、組み合わせると個人を特定できる属性（「準識別子」と呼ばれている）を所定の匿名化の強度を満足するように匿名化する。

特開２０１７−００４２６０号公報 特開２０１７−０４９６９３号公報 特開２０１６−１３９２６１号公報 特開２０１５−２３２８６３号公報

匿名化のやり方（匿名化手法）としては、様々なやり方（手法）が存在している。ここで、匿名化のやり方とは、匿名化の種類に限らず、データをどの程度まで匿名化するか（匿名化強度）の違いを含む。

最も多く用いられている匿名化手法として、「ｋ−匿名化」がある。ｋ−匿名化とは、全てのレコードをデータセットに分割し、各データセットの中に同じ準識別子（又は準識別子の組）を有するレコードが、少なくともｋ個以上存在するように、匿名化することである。ｋ−匿名化における「ｋ」が、ｋ−匿名化における指標である。

「ｋ」の値を大きくすると、匿名化後のデータにおいて個人を特定するのが難しくなる。つまり、個人のプライバシイの保護の観点からは、匿名化の指標を大きくすることが望ましい。

一方、匿名化の指標を大きくすると、匿名化後のデータにおける情報量の損失が大きくなる。

そこで、個人情報を匿名化する場合、匿名化の指標を適切に決めることが必要である。

一般的な匿名化では、匿名化を実施する担当者（実施者）が、匿名化の対象となる個人情報と、データを利用する第三者などとを基に、準識別子における匿名化の指標を、匿名化が要求される場面ごとに、決めている。より詳細には、匿名化の実施者が、複数の匿名化を用いてデータを匿名化し、匿名化後のデータを確認して、匿名化を選択している。そのため、匿名化を決めるための作業に多くの工数が、必要となっている。さらに、必ずしも複数の実施者の判断が同じとなるとは限られない。そのため、実施者に依存した匿名化が実施されている。

さらに、個人情報に複数の準識別子が含まれる場合、各準識別子に対して匿名化の指標を決める必要がある。この場合、実施者は、複数の準識別子それぞれに対する指標（指標の組合せ）を決める必要がある。

この場合、多くの選択肢があるため、多くの匿名化後のデータを確認して匿名化を決める必要があった。その結果、匿名化後のデータの確認のための、多くの作業が必要とされている。

匿名化手法に対して他の匿名化手法と比較するための指標又は評価値を算出できると、実施者は、その値を比較することで、匿名化手法を選択できる。そこで、匿名化を比較するための値の算出が望まれている。

特許文献１に記載の発明は、コンテンツにおける同義語を処理するものであり、匿名化に関するものではない。

特許文献２ないし４に記載の発明は、匿名化に関するものであるが、複数の匿名化を比較するものではない。

特許文献１ないし４に記載の発明は、匿名化を比較できないという問題点があった。

本発明の目的は、上記問題点を解決し、匿名化の比較に用いるための値を算出する情報処理装置などを提供することにある。

本発明の一形態における情報処理装置は、確信度を算出するモデルを用いて匿名化前データにおける確信度である匿名化前確信度を算出する匿名化前確信度算出手段と、匿名化前データに匿名化手法を適用して匿名化後データを作成する匿名化手段と、匿名化手法の匿名化強度を算出する匿名化強度算出手段と、モデルを用いて、匿名化後データにおける確信度である匿名化後確信度を算出する匿名化後確信度算出手段と、匿名化前確信度と匿名化後確信度との差と、匿名化強度とを基に匿名化手法の評価値を算出する評価値算出手段とを含む。

本発明の一形態における情報処理方法は、確信度を算出するモデルを用いて匿名化前データにおける確信度である匿名化前確信度を算出し、匿名化前データに匿名化手法を適用して匿名化後データを作成し、匿名化手法の匿名化強度を算出し、モデルを用いて、匿名化後データにおける確信度である匿名化後確信度を算出し、匿名化前確信度と匿名化後確信度との差と、匿名化強度とを基に匿名化手法の評価値を算出する。

本発明の一形態における記録媒体は、確信度を算出するモデルを用いて匿名化前データにおける確信度である匿名化前確信度を算出する処理と、匿名化前データに匿名化手法を適用して匿名化後データを作成する処理と、匿名化手法の匿名化強度を算出する処理と、モデルを用いて、匿名化後データにおける確信度である匿名化後確信度を算出する処理と、匿名化前確信度と匿名化後確信度との差と、匿名化強度とを基に匿名化手法の評価値を算出する処理とをコンピュータに実行させるプログラムを記録する。

本発明に基づけば、匿名化の比較に用いるための値を算出するとの効果を奏することができる。

図１は、第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。 図２は、匿名化の対象データの一例を示す図である。 図３は、匿名化手法の一例の匿名化後のデータを示す図である。 図４は、匿名化手法の別の例の匿名化後のデータを示す図である。 図５は、第１の実施形態に係る学習用特徴量算出部が算出する特徴量の一例を示す図である。 図６は、データの匿名化を説明するための図である。 図７は、第１の実施形態に係る情報処理装置におけるモデルを作成する動作の一例を示すフロー図である。 図８は、第１の実施形態に係る情報処理装置における匿名化手法の評価値を算出する動作の一例を示すフロー図である。 図９は、第１の実施形態に係る匿名化手法選択部の動作を含む情報処理装置の動作の一例を示すフロー図である。 図１０は、第１の実施形態に係る情報処理装置の概要の構成の一例を示すブロック図である。 図１１は、第１の実施形態に係る情報処理装置のハードウェア構成の一例を示すブロック図である。 図１２は、第１の実施形態に係る情報処理装置を含む情報処理システムの構成の一例を示すブロック図である。

次に、本発明の実施形態について図面を参照して説明する。

なお、各図面は、本発明の実施形態を説明するためのものである。ただし、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。

＜第１の実施形態＞
以下、図面を参照して、第１の実施形態について説明する。

本発明における第１の実施形態に係る情報処理装置１０は、データの匿名化に関連する。

そこで、まず、データの匿名化について説明する。

図６は、データの匿名化を説明するための図である。

図６の上部が、匿名化前のデータである。図６の下部が、匿名化後のデータである。図６において、例えば、属性「年齢」は、２０歳の幅のデータに変換されている。そのため、匿名化後データの利用者が匿名化後データを用いて個人の年齢を特定しようとしても、利用者は、年齢幅２０歳の範囲までしか、個人を限定できない。あるいは、属性「市区町村」は、削除されている。そのため、利用者が、個人の住所を特定しようとしても、都道府県までしか特定できない。

ただし、匿名化手法は、一つではない。図面を参照して、匿名化手法の例を説明する。

図２は、匿名化の対象データの一例を示す図である。図２の上部は、顧客の個人情報の一例である。図２の下部は、購入履歴に関する情報の一例である。

例えば、図２のデータが利用者に提供された場合、データの利用者は、図２の情報から、「千葉県市原市に住む１５歳の男子学生である山田太郎が、２０１７年９月１９日１２時３０分に、千葉店でＡパンを購入したこと」が分かる。

図３は、匿名化手法の一例の匿名化後のデータを示す図である。図３に示されている匿名化後データは、会員ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）及び名前など、個人を特定できる属性（識別子）を削除し、残り属性を匿名化している。

図３のデータが利用者に提供された場合、データ利用者は、図３の情報から、「千葉県市原市に住む１０代の男子学生が、１２時台に千葉店でＡパンを購入したこと」が分かる。

図４は、匿名化手法の別の例の匿名化後のデータを示す図である。図４に示されている匿名化手法は、図３に示されている匿名化手法と比べ、データをより汎化している。

図４のデータが利用者に提供された場合、データの利用者は、図４の情報から、「千葉県に住む１９歳以下の男子学生が、１２時から１４時の間に千葉でパンを購入したこと」が分かる。

図４に示されている匿名化手法の方が、より情報が汎化されている。しかし、図４に示されている匿名化手法は、利用可能な情報量が少ない。

実際の匿名化においては、複数の匿名化の中から適切な匿名化を選択する必要がある。一般的な匿名化において、匿名化の実施者が、複数の匿名化の結果を基に、恣意的に匿名化を選択していた。しかし、この場合、匿名化は、実施者ごとに、異なる可能性があった。

第１の実施形態に係る情報処理装置１０は、匿名化手法を評価するための指標（評価値）を算出する。

［構成の説明］
まず、図面を参照して、本発明における第１の実施形態に係る情報処理装置１０の構成について説明する。

図１は、第１の実施形態に係る情報処理装置１０の構成の一例を示すブロック図である。

情報処理装置１０は、匿名化部２０１と、匿名化前確信度算出部２０２と、匿名化後確信度算出部２０３と、評価値算出部２０４と、匿名化強度算出部２１１とを含む。情報処理装置１０は、さらに、学習用特徴量算出部１０３と、学習部１０４とを含む。情報処理装置１０は、さらに、匿名化手法選択部２０５を含む。

情報処理装置１０は、匿名化手法の評価として、確信度を用いる。情報処理装置１０は、確信度の算出に所定のモデルを用いる。

「確信度」とは、データを用いた判定結果に対して、どのくらいの確信が持てるかの度合い（確からしさ）を表す値である。確信度は、限定されない。確信度は、利用が想定される場面（想定ユースケース）と、確信度の算出に用いられるデータとを基に決定される。例えば、利用者の情報から飲料の購入を予測する場合、モデルは、入力された利用者の情報に対して、その利用者が飲料を購買する確率（判定に対する正解の程度（正解率））を出力する。この確率が、確信度の一例である。なお、確信度は、確率のような０から１までの範囲の数値に限定されない。確信度は、他の範囲の数値でもよい。

「モデル」は、想定ユースケースに沿って選定される。例えば、モデルは、過去において想定ユースケースに近いケースに用いられたモデルの中から選定される。後ほど説明するように、情報処理装置１０は、モデルを学習する。そのため、モデルは、想定ユースケースとは異なるケースに適用されたモデルでもよい。ただし、想定ユースケースに近いケースに用いられたモデルを用いると、学習における収束が早くなる。

学習用特徴量算出部１０３は、学習部１０４がモデルの学習に用いる教師データを、取得する。そして、学習用特徴量算出部１０３は、教師データを基に、学習部１０４がモデルの学習に用いる特徴量（学習用特徴量）を算出する。

情報処理装置１０が取得する教師データは、限定されない。例えば、教師データは、情報処理装置１０の利用者が、匿名化の対象となるデータ（対象データ）の一部に対して、想定される利用ケースにおける正誤の値を設定したデータでもよい。

利用者における対象データの作成の一例を説明する。まず、利用者は、匿名化後のデータの想定ユースケースを基に、対象データの中から、正誤を判定できる一部のデータを抽出する。そして、利用者は、抽出した対象データにおいて、識別子など単独で個人を特定できる属性を削除する。さらに、利用者は、想定利用ユースケースを基に、不要な属性を削除する。そして、利用者は、想定ユースケースを基に、抽出した対象データに正誤の判定結果を設定する。この結果が、教師データとなる。

なお、情報処理装置１０は、ディープラーニングなどを用いて所定のデータの集合（例えば、対象データ）から教師データを作成又は抽出する構成を含み、その構成を用いて教師データを作成又は抽出してもよい。

なお、教師データは、対象データの一部に限定されない。教師データは、所定の知見を基に作成されたデータでもよい。教師データは、対象データの一部と、他のデータとを含んでいてもよい。

学習用特徴量算出部１０３が算出する特徴量は、限定されない。特徴量は、学習部１０４におけるモデルの学習に合わせて決定される。

特徴量の一例は、スカラ値である。例えば、対象データが属性として「性別」を含む場合、学習用特徴量算出部１０３は、性別を二値（例えば、男性を「０」、女性を「１」）に変換してもよい。特徴量は、二値に限られず、二を超える複数の値を取ってもよい。特徴量は、整数に限られず、小数又は分数など有理数でもよい。

あるいは、特徴量は、ベクトルでもよい。例えば、対象データが属性として複数の職業を含む場合、学習用特徴量算出部１０３は、職業の特徴量として、ベクトルを算出してもよい。例えば、属性「職業」が４種類（学生、会社員、主婦、及び、公務員）の属性値を含むとする。この場合、例えば、学習用特徴量算出部１０３は、属性「職業」の属性値が「会社員」の対象データの特徴量として、ベクトル（０，１，０，０）を算出する。

図５は、第１の実施形態に係る学習用特徴量算出部１０３が算出する特徴量の一例を示す図である。学習用特徴量算出部１０３は、図５の上部に示されている教師データを、下部に示されている特徴量のデータに変換する。図５に示されている特徴量を説明する。

属性「性別」は、二値（男が「０」、女が「１」）に変換されている。属性「年齢」は、文字データから整数に変換されている。属性「職業」は、「ベクトル（学生、会社員、主婦、公務員）」における対応する要素を「１」、その他の要素を「０」としたベクトルに変換されている。属性「都道府県」は、都道府県に割り振った数値（整数）に変換されている。属性「購入時間」は、小数２位までの数値（有理数）に変換されている。属性「店舗エリア」は、店舗エリアを示す数値（整数）に変換されている。属性「数（購入数）」は、元のデータが数値（整数）のため、そのまま整数の値となっている。属性「正誤」は、二値（正が「１」、誤が「０」）に変換されている。

ただし、情報処理装置１０が用いる特徴量は、図５に限定されない。情報処理装置１０は、図５と異なる特徴量を用いてもよい。

図１を参照した説明に戻る。

学習部１０４は、学習用特徴量算出部１０３が算出した特徴量を用いて、データにおける「確信度」を算出するモデルを作成及び学習する。学習部１０４における機械学習は、限定されない。学習部１０４は、例えば、使用する機械学習として、サポートベクタマシン、ニューラルネット、又は、ベイズ分類器を用いればよい。なお、教師データを用いているため、学習部１０４における学習は、教師あり学習である。

また、学習部１０４は、学習対象のモデルとして、予め保持するモデルを用いてもよい。あるいは、学習部１０４は、学習の際に、図示しない外部の装置からモデルを取得してもよい。

なお、情報処理装置１０は、教師データとして特徴量を取得してもよい。この場合、学習部１０４が教師データを受信して学習を実行すればよい。そのため、この場合、情報処理装置１０は、学習用特徴量算出部１０３を含まなくてもよい。

モデルの学習が終了すると、情報処理装置１０は、対象データの匿名化を開始する。なお、教師データが対象データの一部を用いている場合、情報処理装置１０は、以下の説明において、教師データに用いたデータを除いた対象データを用いる。

なお、対象データは、一般的な匿名化における前処理（例えば、識別子と不要な属性の削除）が終了したデータである。

匿名化前確信度算出部２０２は、匿名化の対象である対象データ（匿名化前データ）をモデルに適用して確信度（匿名化前確信度）を算出する。匿名化前確信度算出部２０２は、必要に応じて、学習用特徴量算出部１０３と同様のやり方を用いて、対象データの特徴量を算出する。

匿名化部２０１は、匿名化手法を取得する。そして、匿名化部２０１は、取得した匿名化手法を用いて、対象データを匿名化する。匿名化部２０１が用いる匿名化手法は、限定されない。例えば、匿名化部２０１は、「ｋ−匿名化」、「ｌ−多様化」及び／又は「ｔ−近接化」などを用いてもよい。「ｌ−多様化」は、「ｌ」種類以上の属性を含むように、データを匿名化することである。「ｔ−近接化」は、ｋ-匿名化前後におけるデータの分布を近づけるように、データを匿名化することである。

匿名化部２０１が取得する匿名化手法の取得元は、限定されない。例えば、匿名化部２０１は、利用者の端末装置から評価対象となる匿名化手法を受信してもよい。あるいは、匿名化部２０１は、図示しない記憶装置に予め保存されている複数の匿名化から所定の選択規則に沿って、匿名化手法を選択してもよい。

匿名化強度算出部２１１は、匿名化部２０１が用いた匿名化手法に対する匿名化強度を算出する。

第１の実施形態に係る匿名化強度は、限定されない。匿名化強度は、匿名化手法及び想定ユースケースを基に決定されればよい。次に示す「数１」は、ｋ−匿名化を用いた場合の匿名化強度Ｚの一例である。

［数１］
Ｚ＝（ａ・Ｋ）＋ｂ・（１／Ｌ）＋（ｃ・Ｔ）
数１において、「ａ」、「ｂ」、及び「ｃ」は、それぞれ、所定の重みである。「Ｋ」は、ｋ−匿名化における「ｋ（指標値）」である。「Ｋ」の値が多いほど（つまり、同じ値の属性の数が多いほど）、匿名化強度Ｚは、高くなる。「Ｌ」は、属性の数である。「Ｌ」の値の少ないほど（つまり、個人を特定するために組み合わせることができる属性が少ないほど）、匿名化強度Ｚは、高くなる。Ｔは、匿名化における汎化の程度を示す値である。例えば、Ｔは、時間を匿名化する場合における時間幅に対応した値である。具体的に例示すると、時間幅が１時間の場合にＴを「１」とし、時間幅が２時間の場合にＴを「２」とする。「Ｔ」の値が大きいほど（つまり、より範囲が広く匿名化されるほど）、匿名化強度Ｚは、高くなる。なお、匿名化強度Ｚは、正の値である。

ここまでの説明では、ｋ−匿名化を用いて説明しているが、本実施形態は、ｋ-匿名化に限定されない。例えば、情報処理装置１０は、ｋ−匿名化に加え、ｌ−多様化及び／又はｔ−近接化を用いてもよい。この場合、情報処理装置１０は、匿名化強度にこれらの匿名化の指標を追加してもよい。

匿名化後確信度算出部２０３は、匿名化部２０１において匿名化された匿名化後データをモデルに適用して確信度（匿名化後確信度）を算出する。匿名化後確信度算出部２０３は、匿名化前確信度算出部２０２と同様に、必要に応じて、学習用特徴量算出部１０３と同様のやり方を用いて、匿名化後のデータの特徴量を算出する。

評価値算出部２０４は、匿名化前確信度と、匿名化後確信度と、匿名化強度とを用いて、匿名化手法に対する評価値を算出する。

望ましい匿名化手法は、匿名化前確信度と匿名化後確信度のとの差が小さく（つまり、匿名化の前後で確信度の変化が少ない）、かつ、匿名化強度が大きい（つまり、個人が特定されにくい）匿名化手法である。そこで、評価値算出部２０４は、匿名化手法の評価値として、匿名化前確信度と匿名化後確信度との差が小さいと値が大きくなり、かつ、匿名化強度が高いと値が大きくなる評価値を算出する。

評価値Ａの計算式の一例を、「数２」に示す。

［数２］

数２において、右辺の第１項が、確信度の差の項である。第２項が、匿名化強度の項である。「ｄ」及び「ｅ」は、確信度の差と匿名化強度との比率を決める所定の重みである。「ｎ」は、対象データの数である。「ｘ_ｉ」は、匿名化前確信度（つまり、対象データの確信度）である。「ｙ_ｉ」は、匿名化後確信度（つまり、匿名化後データの確信度）である。右辺の第１項は、匿名化の前後における確信度の変化の絶対値の平均値である。第２項のＺは、上記で説明した匿名化強度である。

第１項は、匿名化前後の確信度の差が小さいほど０に近い負の値となり、確信度の差が大きいほど絶対値が大きな負の値となる。第２項は、匿名化強度が大きいほど大きな正の値となり、匿名化強度が小さいほど小さな正の値となる。

評価値算出部２０４は、算出した評価値を所定の装置（例えば、匿名化手法の評価を依頼した装置）に出力する。評価値算出部２０４は、図示しない表示装置に評価値を表示してもよい。

情報処理装置１０は、一つに限られず、複数の匿名化手法の評価値を算出してもよい。

匿名化手法選択部２０５は、複数の匿名化手法の中から、評価値が最大となる匿名化手法、評価値が所定の閾値より大きい匿名化手法、又は、評価値が大きい方から所定の数の匿名化手法を選択する。そして、匿名化手法選択部２０５は、選択した匿名化手法を所定の装置に出力する。

あるいは、匿名化手法選択部２０５は、次のように動作してもよい。

匿名化手法選択部２０５は、評価値が所定の条件を満たすか否かを判定する。例えば、匿名化手法選択部２０５は、評価値が所定の閾値を越えているか否かを判定する。

評価値が所定の条件を満たさない場合、匿名化手法選択部２０５は、複数の匿名化手法の中から選択していない別の匿名化手法を選択する。そして、匿名化手法選択部２０５は、選択した匿名化手法を用いて、匿名化部２０１、匿名化後確信度算出部２０３、匿名化強度算出部２１１、及び評価値算出部２０４に同様動作を実行させ、選択した匿名化手法の評価値を取得する。匿名化手法選択部２０５は、評価値が所定の条件を満足するまで、匿名化手法を選択して各構成に同様の動作を繰り返させる。

評価値が所定の閾値を越えた場合、匿名化手法選択部２０５は、その匿名化手法を出力する。

このような動作を基に、情報処理装置１０は、評価値が所定の条件を満足する匿名化手法を選択できる。

なお、情報処理装置１０は、他の装置で学習したモデルを取得してもよい。この場合、情報処理装置１０は、学習用特徴量算出部１０３と学習部１０４とを含まなくてもよい。

［動作の説明］
次に、図面を参照して、第１の実施形態に係る情報処理装置１０の動作について説明する。

まず、図面を参照して、教師データを用いてモデルを学習するまでの動作を説明する。

図７は、第１の実施形態に係る情報処理装置１０におけるモデルを作成する動作の一例を示すフロー図である。

学習用特徴量算出部１０３は、所定の記憶装置又は処理装置から教師データを取得する（ステップＡ３０１）。

学習用特徴量算出部１０３は、教師データから、確信度を算出するためのモデルの学習に用いる特徴量（学習用特徴量）を算出する（ステップＡ３０２）。

学習部１０４は、学習用特徴量を用いて、モデルを学習する（ステップＡ３０３）。

想定ユースケースが複数ある場合、学習用特徴量算出部１０３及び学習部１０４は、それぞれの想定ユースケースに対する教師データとモデルとを用いて、上記の動作を実行する。

次に、図面を参照して、匿名化手法の評価値を算出する動作を説明する。

図８は、第１の実施形態に係る情報処理装置１０における匿名化手法の評価値を算出する動作の一例を示すフロー図である。

匿名化前確信度算出部２０２は、対象データ（匿名化前データ）をモデルに適用して匿名化前確信度を算出する（ステップＢ３０１）。

匿名化部２０１は、匿名化手法を用いて、対象データを匿名化する（ステップＢ３０４）。

匿名化強度算出部２１１は、匿名化手法の匿名化強度を算出する(ステップＢ３０５)。

匿名化後確信度算出部２０３は、匿名化された対象データ（匿名化後データ）をモデルに適用して、匿名化後データに対する確信度（匿名化後確信度）を算出する（ステップＢ３０６）。

評価値算出部２０４は、匿名化強度と、匿名化前確信度と、匿名化後確信度とを用いて、匿名化手法の評価値を算出する（ステップＢ３０７）。

評価値算出部２０４は、算出した評価値を出力する（ステップＢ３０９）。

このような動作を基に、情報処理装置１０は、匿名化手法に対する評価値を出力する。

なお、情報処理装置１０は、匿名化手法選択部２０５を用いて、複数の匿名化手法から、評価値が特定の条件（例えば、評価値が閾値より大きい）を満足する匿名化手法を選択してもよい。

図９は、第１の実施形態に係る匿名化手法選択部２０５の動作を含む情報処理装置１０の動作の一例を示すフロー図である。図９において、図８と同様の動作の説明については、適宜省略する。

匿名化前確信度を算出後、匿名化手法選択部２０５は、匿名化手法を選択し、匿名化部２０１に渡す（ステップＢ３０３）。

匿名化手法選択部２０５のおける上記の動作の一例を説明する。匿名化前確信度算出部２０２は、匿名化前確信度を算出すると、匿名化手法選択部２０５に算出の終了を通知する。通知を受けると、匿名化手法選択部２０５は、複数の匿名化手法の中から、所定に規則に沿って最初に使用する匿名化手法を選択する。なお、２回目以降においては、匿名化手法選択部２０５は、取得した評価値を用いて、匿名化手法を選択する。そして、匿名化手法選択部２０５は、選択した匿名化手法を匿名化部２０１に渡す。そして、匿名化手法選択部２０５は、匿名化部２０１、匿名化後確信度算出部２０３、匿名化強度算出部２１１、及び評価値算出部２０４に既に説明した動作と同様動作を実行させ、選択した匿名化手法の評価値を取得する。ただし、上記の説明は、匿名化手法選択部２０５の動作の一例である。匿名化手法選択部２０５は、上記と異なるように動作してもよい。

情報処理装置１０は、ステップＢ３０７までは、図８の同様に動作する。

匿名化手法選択部２０５は、評価値が所定の条件を満足するか否かを判定する(ステップＢ３０８)。

条件を満たさない場合（ステップＢ３０８でＮｏ）、情報処理装置１０は、ステップＢ３０３に戻る。そして、匿名化手法選択部２０５は、次の匿名化手法を選択する。以降、情報処理装置１０は、条件を満足するまで動作を繰り返す。

条件を満たす場合（ステップＢ３０８でＹｅｓ）、情報処理装置１０は、評価手法を出力する（ステップＢ３１０）。なお、この場合、匿名化手法選択部２０５は、匿名化手法に合わせて評価値を出力してもよい。あるいは、匿名化手法選択部２０５は、評価値算出部２０４に評価値の出力を依頼してもよい。

［効果の説明］
次に、第１の実施形態に係る情報処理装置１０の効果を説明する。

このように、第１の実施形態に係る情報処理装置１０は、匿名化の比較に用いるための値を算出するとの効果を得ることができる。

その理由は、次のとおりである。

情報処理装置１０は、匿名化前確信度算出部２０２と、匿名化部２０１と、匿名化後確信度算出部２０３と、匿名化強度算出部２１１と、評価値算出部２０４とを含む。匿名化前確信度算出部２０２は、確信度を算出するモデルを用いて匿名化前データにおける確信度である匿名化前確信度を算出する。匿名化部２０１は、匿名化前データに匿名化手法を適用して匿名化後データを作成する。匿名化強度算出部２１１は、匿名化手法の匿名化強度を算出する。匿名化後確信度算出部２０３は、モデルを用いて、匿名化後データにおける確信度である匿名化後確信度を算出する。評価値算出部２０４は、匿名化前確信度と匿名化後確信度との差と、匿名化強度とを基に匿名化手法の評価値を算出する。

上記構成は、モデルと、匿名化手法と、対象データとが決まると、自動的に評価値を算出する。そのため、情報処理装置１０の利用者は、情報処理装置１０が算出した評価値を用いて、匿名化手法を判定することができる。例えば、利用者が複数の匿名化手法の中から適切な匿名化手法を選択する場合、利用者は、情報処理装置１０を用いて全ての匿名化手法の評価値を算出し、最も評価値が高い匿名化手法を選択すればよい。

さらに、情報処理装置１０は、評価値を所定の条件を満たす匿名化手法を提供するとの効果を奏することができる。

その理由は、情報処理装置１０が、匿名化手法選択部２０５の動作を基に、評価値が所定の条件を満足するまで、匿名化手法の選択と、選択した匿名化手法の評価値の算出を繰り返し、所定の条件を満足する匿名化手法を出力するためである。

さらに、情報処理装置１０は、確信度の精度を向上するとの効果を奏することができる。

その理由は、情報処理装置１０が、教師データを基に確信度を算出するモデルを学習する学習部１０４を含むためである。

［実施形態の概要］
次に、図面を参照して、第１の実施形態に係る情報処理装置１０の概要を説明する。

図１０は、第１の実施形態に係る情報処理装置１０の概要である情報処理装置１５の構成の一例を示すブロック図である。

情報処理装置１５は、匿名化前確信度算出部２０２と、匿名化部２０１と、匿名化後確信度算出部２０３と、匿名化強度算出部２１１と、評価値算出部２０４とを含む。匿名化前確信度算出部２０２は、確信度を算出するモデルを用いて匿名化前データにおける確信度である匿名化前確信度を算出する。匿名化部２０１は、匿名化前データに匿名化手法を適用して匿名化後データを作成する。匿名化強度算出部２１１は、匿名化手法の匿名化強度を算出する。匿名化後確信度算出部２０３は、モデルを用いて、匿名化後データにおける確信度である匿名化後確信度を算出する。評価値算出部２０４は、匿名化前確信度と匿名化後確信度との差と、匿名化強度とを基に匿名化手法の評価値を算出する。

上記構成は、モデルと、匿名化手法と、対象データとが決まると、自動的に評価値を算出する。そのため、情報処理装置１５の利用者は、評価値を用いて、匿名化手法を比較することができる。

情報処理装置１５は、情報処理装置１０と同様の効果を奏することができる。

その理由は、上記の情報処理装置１５の構成が、対応する情報処理装置１０の構成と同様に動作するためである。

なお、情報処理装置１５は、第１の実施形態の最小構成である。

［ハードウェア構成］
図面を参照して、第１の実施形態に係る情報処理装置１０のハードウェアを説明する。

例えば、情報処理装置１０の各構成部は、ハードウェア回路で構成されてもよい。

あるいは、情報処理装置１０において、各構成部は、ネットワークを介して接続した複数の装置を用いて、構成されてもよい。

あるいは、情報処理装置１０において、複数の構成部は、１つのハードウェアで構成されてもよい。

あるいは、情報処理装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）とを含むコンピュータ装置として実現されてもよい。情報処理装置１００は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Ｉｎｐｕｔ ａｎｄ Ｏｕｔｐｕｔ Ｃｉｒｃｕｉｔ）を含むコンピュータ装置として実現されてもよい。情報処理装置１００は、上記構成に加え、さらに、ネットワークインターフェース回路（ＮＩＣ：Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃｉｒｃｕｉｔ）を含むコンピュータ装置として実現されてもよい。

図１１は、第１の実施形態に係る情報処理装置１００のハードウェア構成の一例である情報処理装置６００の構成を示すブロック図である。

情報処理装置６００は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータ装置を構成している。

ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御し、図１に示されている各構成の機能を実現する。各構成とは、学習用特徴量算出部１０３、学習部１０４、匿名化前確信度算出部２０２と、匿名化部２０１と、匿名化後確信度算出部２０３と、評価値算出部２０４と、匿名化手法選択部２０５とである。

ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０又は内部記憶装置６４０を、プログラムの一時記憶媒体として使用してもよい。

また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでもよい。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取り、ＲＡＭ６３０又は内部記憶装置６４０に保存して、保存したプログラムを基に動作してもよい。

ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ−ＲＯＭ）又はフラッシュＲＯＭである。

ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Ｄｙｎａｍｉｃ−ＲＡＭ）である。

内部記憶装置６４０は、情報処理装置６００が長期的に保存するデータ及びプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作してもよい。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）又はディスクアレイ装置である。

ここで、ＲＯＭ６２０と内部記憶装置６４０は、不揮発性（ｎｏｎ−ｔｒａｎｓｉｔｏｒｙ）の記憶媒体である。一方、ＲＡＭ６３０は、揮発性（ｔｒａｎｓｉｔｏｒｙ）の記憶媒体である。そして、ＣＰＵ６１０は、ＲＯＭ６２０、内部記憶装置６４０、又は、ＲＡＭ６３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ６１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。

ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）カードである。さらに、ＩＯＣ６５０は、ＵＳＢのような有線に限らず、無線を用いてもよい。

入力機器６６０は、情報処理装置６００の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス又はタッチパネルである。

表示機器６７０は、情報処理装置６００の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。

ＮＩＣ６８０は、図示しない外部の装置とのネットワークを介したデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）カードである。さらに、ＮＩＣ６８０は、有線に限らず、無線を用いてもよい。ＮＩＣ６８０は、モデル、対象データ、及び匿名化手法を受信する。さらに、ＮＩＣ６８０は、教師データを受信する。

このように構成された情報処理装置６００は、情報処理装置１０と同様の効果を得ることができる。

その理由は、情報処理装置６００のＣＰＵ６１０が、プログラムに基づいて情報処理装置１０と同様の機能を実現できるためである。

［情報処理システム］
図面を参照して、情報処理装置１０を含む情報処理システム５０の一例を説明する。

図１２は、第１の実施形態に係る情報処理装置１０を含む情報処理システム５０の構成の一例を示すブロック図である。情報処理システム５０は、情報処理装置１０と、データ格納装置３０と、表示装置４０とを含む。

各装置は、所定の通信網を用いて接続されている。

データ格納装置３０は、匿名化の対象となるデータ（対象データ）を格納する。さらに、データ格納装置３０は、教師データを格納する。なお、情報処理装置１０が、教師データとして、匿名化の対象となるデータの一部を用いる場合、データ格納装置３０は、匿名化の対象となるデータとは別に教師データを保持せず、教師データとして用いるデータの範囲を保持してもよい。さらに、データ格納装置３０は、匿名化手法を保持してもよい。

データ格納装置３０は、さらにモデル（学習前のモデル）を保持してもよい。この場合、情報処理装置１０は、データ格納装置３０からモデルを取得する。

情報処理装置１０は、データ格納装置３０から、教師データと、匿名化の対象となるデータと、匿名化手法とを取得する。

そして、情報処理装置１０は、上記の動作を基に匿名化手法の評価値を算出し、算出した評価値を表示装置４０に送信する。情報処理装置１０は、評価値に合わせて、匿名化手法及び／又は匿名化後データを送信してもよい。

表示装置４０は、受信した評価値を表示する。表示装置４０は、他の情報（匿名化手法など）を表示してもよい。

情報処理システム５０の利用者は、表示された評価値などを基に、匿名化手法を判定すればよい。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成及び詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１８年 ３月 ２日に出願された日本出願特願２０１８−０３７１１７を基礎とする優先権を主張し、その開示の全てをここに取り込む。

本発明は、所定の解析等に利用するために、データ内に含まれる個人情報を匿名化する際に利用可能である。

１０ 情報処理装置
１５ 情報処理装置
３０ データ格納装置
４０ 表示装置
５０ 情報処理システム
１０３ 学習用特徴量算出部
１０４ 学習部
２０１ 匿名化部
２０２ 匿名化前確信度算出部
２０３ 匿名化後確信度算出部
２０４ 評価値算出部
２０５ 匿名化手法選択部
２１１ 匿名化強度算出部
６００ 情報処理装置
６１０ ＣＰＵ
６２０ ＲＯＭ
６３０ ＲＡＭ
６４０ 内部記憶装置
６５０ ＩＯＣ
６６０ 入力機器
６７０ 表示機器
６８０ ＮＩＣ
７００ 記憶媒体

本発明の一形態におけるプログラムは、確信度を算出するモデルを用いて匿名化前データにおける確信度である匿名化前確信度を算出する処理と、匿名化前データに匿名化手法を適用して匿名化後データを作成する処理と、匿名化手法の匿名化強度を算出する処理と、モデルを用いて、匿名化後データにおける確信度である匿名化後確信度を算出する処理と、匿名化前確信度と匿名化後確信度との差と、匿名化強度とを基に匿名化手法の評価値を算出する処理とをコンピュータに実行させる。

Claims (6)

1. 確信度を算出するモデルを用いて匿名化前データにおける前記確信度である匿名化前確信度を算出する匿名化前確信度算出手段と、
   前記匿名化前データに匿名化手法を適用して匿名化後データを作成する匿名化手段と、
   前記匿名化手法の匿名化強度を算出する匿名化強度算出手段と、
   前記モデルを用いて、前記匿名化後データにおける前記確信度である匿名化後確信度を算出する匿名化後確信度算出手段と、
   前記匿名化前確信度と前記匿名化後確信度との差と、前記匿名化強度とを基に前記匿名化手法の評価値を算出する評価値算出手段と
   を含む情報処理装置。
2. 前記評価値が所定の条件を満たすか否かを判定し、
   前記評価値が前記条件を満たさない場合に、前記評価値が前記条件を満たすまで、別の前記匿名化手法を選択して、前記匿名化手段、前記匿名化強度算出手段、前記匿名化後確信度算出手段、及び、前記評価値算出手段に、同様の動作を繰り返させる
   匿名化選択手段をさらに含む
   請求項１に記載の情報処理装置。
3. 教師データを用いて前記モデルを学習する学習手段
   をさらに含む請求項１又は２に記載の情報処理装置。
4. 前記教師データを取得し、前記教師データを基に前記モデルが用いる特徴量を算出する学習用特徴量算出手段を、
   をさらに含む請求項３に記載の情報処理装置。
5. 確信度を算出するモデルを用いて匿名化前データにおける前記確信度である匿名化前確信度を算出し、
   前記匿名化前データに匿名化手法を適用して匿名化後データを作成し、
   前記匿名化手法の匿名化強度を算出し、
   前記モデルを用いて、前記匿名化後データにおける前記確信度である匿名化後確信度を算出し、
   前記匿名化前確信度と前記匿名化後確信度との差と、前記匿名化強度とを基に前記匿名化手法の評価値を算出する
   情報処理方法。
6. 確信度を算出するモデルを用いて匿名化前データにおける前記確信度である匿名化前確信度を算出する処理と、
   前記匿名化前データに匿名化手法を適用して匿名化後データを作成する処理と、
   前記匿名化手法の匿名化強度を算出する処理と、
   前記モデルを用いて、前記匿名化後データにおける前記確信度である匿名化後確信度を算出する処理と、
   前記匿名化前確信度と前記匿名化後確信度との差と、前記匿名化強度とを基に前記匿名化手法の評価値を算出する処理と
   をコンピュータに実行させるプログラムを記録する記録媒体。

Images