WO2011142327A1 - 情報処理装置、制御方法及びプログラム - Google Patents

Abstract

　匿名化後の個人情報の該当者が所定人数以上存在することを保証するように個人情報を匿名化する。　本発明の情報処理装置は、複数の個人情報を記憶する個人情報データベースと、各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムをアルゴリズム識別情報とそれぞれ対応付けて記憶するアルゴリズム定義部と、各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する記載内容変更部と、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する記載内容別提供者数算出部と、各提供者数のうちの最小値を所定基準値と比較する比較部とを含み、記載内容変更部が、最小値が基準値以上になるまで各アルゴリズム識別情報に対応するアルゴリズムで個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返す。

Description

情報処理装置、制御方法及びプログラム

　本発明は、匿名化後の個人情報の該当者が所定人数以上存在することを保証するように個人情報を匿名化する情報処理装置、制御方法及びプログラムに関する。

　近年、インターネットを使ったサービスの普及に伴い、サービス利用者の個人情報（年齢、性別、趣味、職業など）を活用したサービスが、一般的になりつつある。このようなサービスを提供するサービス提供業者は、サービス利用者から収集した個人情報を基に、サービス利用者の特性に合わせた便利なサービスを、サービス利用者に提供する。
　また、サービス利用者の個人情報を保護するために、サービス利用者から収集した個人情報を匿名化する技術も、開発されている（例えば、特許文献１、特許文献２、特許文献３を参照）。
　また、秘匿化にレベルを備えることも行われている（例えば、特許文献４を参照）。
特開２００４−１４５４８３号公報 特開２００４−２０６３１９号公報 特開２００７−２８７１０２号公報 特開２００６−１８５３１１号公報

　しかし、個人情報を匿名化したからと言って、個人情報の提供者が特定されないとは、必ずしも、言えない。例えば、匿名化した個人情報の該当者が一人しかいなければ、その個人情報の提供者を特定することは、可能である。
　そのため、匿名化後の個人情報の該当者が所定人数以上存在することを保証するように個人情報を匿名化する技術が、求められている。
　本発明は、上記課題を鑑みてなされたものである。本発明の目的は、匿名化後の個人情報の該当者が所定人数以上存在することを保証するように個人情報を匿名化する情報処理装置、制御方法及びプログラムを提供することにある。

　本発明の情報処理装置は、複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する個人情報データベースと、前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶するアルゴリズム定義部と、前記個人情報データベースに記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する記載内容変更部と、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する記載内容別提供者数算出部と、前記各提供者数のうちの最小値を所定の基準値と比較する比較部とを含み、前記記載内容変更部が、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返すことを特徴とする。
　また、本発明の制御方法は、複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶し、前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶し、前記記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更し、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出し、前記各提供者数のうちの最小値を所定の基準値と比較し、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返すことを特徴とする。
　また、本発明のプログラムは、複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する手順と、前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶する手順と、を備える情報処理装置に、前記記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する手順と、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する手順と、前記各提供者数のうちの最小値を所定の基準値と比較する手順と、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで記憶されている各個人情報の記載内容を変更する処理を繰り返す手順とをコンピュータに実行させる。
　その他、本願が開示する課題及びその解決方法は、発明を実施するための最良の形態の欄、及び図面にて明らかにされる。

　本発明の処理装置は、匿名化後の個人情報の該当者が所定人数以上存在することを保証するように個人情報を匿名化することができる。
　本発明の処理装置に基づき、サービス利用者は、個人が特定される不安を抱くことなく安心して個人情報を提供することができる。また、サービス利用者は、サービス利用者の個人情報を利用した便利なサービスの提供を受けることが可能となる。

本実施形態に係る匿名性保証システムの全体構成の一例を示す図である。 本実施形態に係る匿名性保証装置の構成の一例を示すブロック図である。 本実施形態に係る匿名性保証装置のハードウェア構成の一例を示すブロック図である。 本実施形態に係る匿名性保証装置のハードディスクドライブの構成の一例を示す図である。 本実施形態に係る利用者端末の構成の一例を示すブロック図である。 本実施形態に係るサービス提供者サーバの構成の一例を示すブロック図である。 本実施形態に係る個人情報データベースの一例を示す図である。 本実施形態に係る匿名化レベル記憶部の一例を示す図である。 本実施形態に係る関連情報データベースの一例を示す図である。 本実施形態に係る匿名情報データベースの一例を示す図である。 本実施形態に係る匿名化の一例を説明するための図である。 本実施形態に係る匿名化の一例を説明するための図である。 本実施形態に係る個人情報受信時の処理の流れの一例を示すシーケンス図である。 本実施形態に係る個人情報削除要求受信時の処理の流れの一例を示すシーケンス図である。 本実施形態に係る個人情報データベースの一例を示す図である。 本実施形態に係る匿名化レベル記憶部の一例を示す図である。 本実施形態に係る関連情報データベースの一例を示す図である。 本実施形態に係る匿名情報データベースの一例を示す図である。 本実施形態に係る匿名化の流れの一例を示すシーケンス図である。 本実施形態に係る個人情報削除要求受信時の処理の流れの一例を示すシーケンス図である。 本実施形態に係る関連情報データベースの一例を示す図である。 本実施形態に係る関連情報データベースの一例を示す図である。 本実施形態に係る匿名情報データベースの一例を示す図である。 本実施形態に係る匿名化レベル記憶部の一例を示す図である。 本実施形態に係る匿名性保証装置の構成の別の一例を示すブロック図である。

（第一の実施の形態）
　本発明の第１の実施形態に係る匿名性保証システム１０００について、図面を参照して詳細に説明する。
＜全体の構成＞
　図１に示すように、第１の実施形態に係る匿名性保証システム１０００は、利用者端末１００Ａ及び１００Ｂと、匿名性保証装置２００と、サービス提供者サーバ３００とがネットワーク４００を介して通信可能に接続している。なお、以下では、記載の簡略化のため、利用者端末１００Ａと利用者端末１００Ｂとを区別する必要が無い場合などには、適宜まとめて利用者端末１００と記載する場合がある。
　利用者端末１００Ａは、匿名性保証装置２００に、利用者端末１００Ａの利用者の個人情報を送信する。また、利用者端末１００Ｂも、同様に、匿名性保証装置２００に、利用者端末１００Ｂの利用者の個人情報を送信する。
　これらの個人情報は、例えば、利用者端末１００Ａ及び１００Ｂの利用者の電話番号、年齢、性別、住所、職業、趣味、利用者端末１００Ａ及び１００Ｂの位置情報などである。このように、個人情報には、個人情報を取得した第三者が、個人情報の提供者を特定できる情報が含まれる。
　また、利用者端末１００は、匿名性保証装置２００に、個人情報と共に、個人情報の提供者の識別情報を送信する。識別情報は、例えば、利用者端末１００Ａ及び１００Ｂの利用者の氏名などである。
　匿名性保証装置２００は、利用者端末１００から受信した個人情報と識別情報とを記憶する。また、匿名性保証装置２００は、利用者端末１００から受信した個人情報を匿名化し、匿名情報を作成する。匿名化とは、個人情報の記載内容を変更し、個人情報の提供者の特定を困難にする処理である。匿名化は、例えば、個人情報に含まれる情報量を削減する処理や、個人情報から個人を特定する困難性を高めるように個人情報の精度を下げる処理を含む。匿名化は、一般的に曖昧化と呼ぶことが出来る。
　匿名化の結果、異なる個人情報から生成される匿名情報が同一となる場合が生じる。例えば、利用者から提供された電話番号（個人情報）の下一桁を削除するように匿名化した場合には、１０個の個人情報が同一の匿名情報に変換される。この処理に基づき、匿名性保証装置２００は、第三者が匿名情報を取得したとしても、第三者が個人情報の提供者を特定することを困難にできる。
　また、詳しくは後述するが、本実施形態に係る匿名性保証装置２００は、匿名化の強さを制御できる。この制御に基づき、匿名性保証装置２００は、生成された匿名情報から個人を特定する際の困難性を制御できる。例えば、利用者から提供された電話番号（個人情報）の「下二桁」を削除するように匿名化した場合には、１００個の個人情報が同一の匿名情報に変換されることになるため、匿名性保証装置２００は、「下一桁」を削除する匿名化に比べて、個人の特定の困難性を高めることができる。
　なお、本実施形態に係る匿名性保証装置２００は、匿名情報から個人を特定する際の困難性を、後述する「基準匿名性」として表現しており、この「基準匿名性」を満たすように匿名化の強さを制御する。
　例えば、匿名性保証装置２００が利用者から提供された電話番号（個人情報）の下一桁を削除するように匿名化を制御している場合に、ある利用者から電話番号の提供を中止するとの申し出があり、その利用者の個人情報から生成された匿名情報を削除した結果、匿名化後の電話番号の提供者が一人しかいなくなるというケースも生じうる。この場合は、匿名化後の電話番号でも、その電話番号の提供者が一人しかいないため、その提供者は、特定されてしまう。
　その場合、本実施形態に係る匿名性保証装置２００は、匿名化後の電話番号が「基準匿名性」を満たすように、例えば、基の電話番号の「下二桁」を削除するように匿名化を変更して、電話番号を匿名化する。
　匿名性保証装置２００は、上記のように「基準匿名性」を満たすように作成した匿名情報を、サービス提供者サーバ３００に送信する。
　サービス提供者サーバ３００は、匿名性保証装置２００から受信した匿名情報を利用して、上記利用者端末１００の利用者向けのサービスを、利用者端末１００に提供する。
　この匿名性保証装置２００に基づき、利用者は、個人が特定される不安を抱くことなく、安心して個人情報を提供できる。また、利用者は、利用者の個人情報を利用した便利なサービスの提供を受けることが可能となる。
＜利用者端末の構成＞
　利用者端末１００の構成を図５に示す。
　利用者端末１００は、個人情報送信部１１０と、サービス要求送信部１２０と、サービス受信部１３０とを含む。
　個人情報送信部１１０は、個人情報と識別情報とを匿名性保証装置２００に送信する。サービス要求送信部１２０は、サービス提供者サーバ３００にサービス実行要求を送信する。サービス受信部１３０は、サービス提供者サーバ３００からサービスの実行結果を受信する。
＜サービス提供者サーバの構成＞
　サービス提供者サーバ３００の構成を図６に示す。サービス提供者サーバ３００は、利用者端末１００からサービス実行要求を受け、匿名性保証装置２００から受信した匿名情報を利用して、利用者端末１００の利用者へサービスを提供するための情報を処理する。そして、サービス提供者サーバ３００は、情報の処理の結果である実行結果を利用者端末１００に送信する。
　あるいは、サービス提供者サーバ３００は、利用者端末１００からサービス実行要求を受信しなくても、自発的に、匿名情報を利用して情報を処理し、利用者端末１００にその実行結果を送信もできる。
　サービス提供者サーバ３００は、サービス要求受信部３１０と、匿名情報要求部３２０と、匿名情報取得部３３０と、サービス実行部３４０と、サービス送信部３５０とを含む。
　サービス要求受信部３１０は、利用者端末１００からサービス実行要求を受け付ける。
　匿名情報要求部３２０は、匿名性保証装置２００に匿名情報を要求する。
　匿名情報取得部３３０は、匿名性保証装置２００から匿名情報を受信する。
　サービス実行部３４０は、匿名性保証装置２００から受信した匿名情報を利用して、利用者端末１００の利用者へサービスを提供するための情報を処理する。
　サービス送信部３５０は、利用者端末１００に処理の実行結果を送信する。
＜匿名性保証装置の構成＞
　図２に示すように、本実施形態に係る匿名性保証装置２００は、個人情報更新受付部２１０と、データベース２２０と、個人情報匿名化プログラム２３０と、匿名情報提供部２４０とを含む。
　データベース２２０は、個人情報データベース２２１と、関連情報データベース２２２と、匿名化レベル記憶部２２３と、基準匿名性記憶部２２４と、匿名情報データベース２２５とを含む。
　個人情報匿名化プログラム２３０は、匿名化制御部２３１と、個人情報匿名化部２３２と、匿名性判定部２３３とを含む。
＜ハードウェア構成＞
　図３に示すように、匿名性保証装置２００は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）２０１と、メモリ２０２と、ポート２０３と、ハードディスクドライブ２０４と、記録媒体２０５と、記録媒体読取装置２０６と、入力装置２０７と、出力装置２０８とを含むコンピュータを用いても構成することができる。
　ＣＰＵ２０１は、匿名性保証装置２００の全体を制御する。ＣＰＵ２０１は、ハードディスクドライブ２０４に記憶された本実施の形態に係る各種の動作を行うためのコードから構成される個人情報匿名化プログラム２３０をメモリ２０２に読み出して実行し、匿名性保証装置２００としての各種機能を実現する。
　記録媒体読取装置２０６は、フレキシブルディスクや磁気テープ、コンパクトディスク等の記録媒体２０５に記録されているプログラムやデータを読み取るための装置である。読み取られたプログラムやデータは、メモリ２０２やハードディスクドライブ２０４に格納される。従って、匿名性保証装置２００は、例えば、記録媒体２０５に記録された個人情報匿名化プログラム２３０を、記録媒体読取装置２０６を用いて上記記録媒体２０５から読み取り、メモリ２０２やハードディスクドライブ２０４に記憶できる。記録媒体読取装置２０６は、匿名性保証装置２００に内蔵されている形態とすることもできるし、外付されている形態とすることもできる。
　ハードディスクドライブ２０４は、例えば、ハードディスク装置や半導体記憶装置を用いることができる。ハードディスクドライブ２０４は、個人情報匿名化プログラム２３０及びデータベース２２０を記憶する。ハードディスクドライブ２０４が、個人情報匿名化プログラム２３０及びデータベース２２０を記憶している様子を図４に示す。
　入力装置２０７は、匿名性保証装置２００へのデータ入力等のために用いられる装置であり、ユーザインタフェースとして機能する。入力装置２０７は、例えば、キーボードやマウスを用いることができる。
　出力装置２０８は、情報を外部に出力するための装置であり、ユーザインタフェースとして機能する。出力装置２０８は、例えば、ディスプレイやプリンタを用いることができる。
　ポート２０３は、通信のための装置である。例えば、匿名性保証装置２００は、ネットワーク４００を介した利用者端末１００、サービス提供者サーバ３００等の他のコンピュータとの通信を、ポート２０３を経由してできる。また、例えば、匿名性保証装置２００は、個人情報匿名化プログラム２３０及びデータベース２２０を、ポート２０３を経由して、他のコンピュータからネットワーク４００を介して受信し、メモリ２０２やハードディスクドライブ２０４に記憶できる。
＜個人情報更新受付部＞
　図２に戻って、個人情報更新受付部２１０は、利用者端末１００から個人情報と識別情報とを受信し、個人情報と識別情報とを個人情報データベース２２１に書き込む。
＜個人情報データベース＞
　個人情報データベース２２１は、利用者端末１００から受信した個人情報と識別情報とを記憶する。個人情報データベース２２１の一例を図７に示す。利用者端末１００から送信される個人情報には、例えば、「電話番号」と「生年月日」と「性別」とが含まれる。利用者端末１００から送信される識別情報には、例えば、「利用者の氏名」が含まれる。
　図７の個人情報データベース２２１は、ユーザＡからユーザＥまでの、５つの個人情報を記憶している。個人情報データベース２２１が記憶する各個人情報は、それぞれ「個人情報識別番号」を用いて識別される。
＜匿名化レベル記憶部＞
　図２に戻って、匿名化レベル記憶部（特許請求の範囲に記載のアルゴリズム定義部に相当する）２２３は、匿名化の際に個人情報をどのように匿名化するかを、匿名化レベル（特許請求の範囲に記載のアルゴリズム識別情報に相当）ごとに記憶する。
　例えば、図８に示す匿名化レベル記憶部２２３の一例は、匿名化レベル１からＫまでの匿名化レベル毎に、個人情報をどのように匿名化するかを記憶している。なお、図８に示す例では、匿名化レベルの値が大きいほど、匿名化の個人情報の精度を下げる度合いが大きくなる。つまり、匿名化レベルの値が大きいほど、匿名化の個人情報内の情報量が大きく削減される。例えば、図８に示す例では、匿名化レベル１で電話番号を匿名化すると、電話番号の下２桁が伏せ字になる。匿名化レベル２では下３桁、匿名化レベル３では下４桁、匿名化レベルＫではすべての桁が伏せ字になる。このように、匿名化レベルが高いほど、匿名化の個人情報の精度を下げる度合いが大きくなる。また、匿名化レベルを見るだけで匿名化の程度を把握することも可能である。
　匿名化レベル記憶部２２３は、電話番号の下何桁かを伏せ字にする、生年月日の任意の桁を伏せ字にする、住所の番地を伏せ字にする、趣味や職業を上位概念化する、などのように、匿名化に応じた処理内容を、匿名化レベル毎に記載する。
＜関連情報データベース＞
　関連情報データベース２２２の一例を図９に示す。関連情報データベース２２２は、個人情報データベース２２１に記憶されている個人情報に対して、後述する匿名化で生成される「暫定匿名情報」を記憶する。また、関連情報データベース２２２は、個人情報に含まれる「個人名」を別の文字列に変換することで生成される暫定匿名情報の識別子である「匿名ＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）」を記憶する。また、関連情報データベース２２２は、「暫定匿名情報のもとになった個人情報の識別番号」と、「暫定匿名情報の匿名化レベル」と、「暫定属性情報が同一の匿名ＩＤの数」とを暫定匿名情報毎に記憶する。
　暫定匿名情報は、「匿名化後の電話番号」と、「匿名化後の生年月日」と、「匿名化後の性別」とを含む。「暫定匿名情報の匿名化レベル」欄は、その暫定匿名情報がどの匿名化レベルで匿名化されたかを記憶する。
＜匿名情報データベース＞
　匿名情報データベース２２５の一例を図１０に示す。匿名情報データベース２２５は、「匿名情報」と「匿名ＩＤ」とを記憶する。「匿名情報」とは、前述した暫定匿名情報のうち、後述する基準匿名性を満たしているものを表す。
　匿名情報は、「匿名化後の電話番号」と、「匿名化後の生年月日」と、「匿名化後の性別」とを含む。
　匿名情報データベース２２５が記憶する匿名情報は、後述する匿名情報提供部２４０を用いて、サービス提供者サーバ３００に送信される。
＜基準匿名性記憶部＞
　図２に戻って、基準匿名性記憶部２２４は、基準匿名性（特許請求の範囲に記載の「所定の基準値」に相当する）を記憶する。
　ここで基準匿名性とは、本実施形態に係る匿名化に基づいて生成される匿名情報が満足する個人特定困難性の基準値である。例えば、本実施形態の匿名性保証装置２００は、匿名性保証装置２００が作成する全ての匿名情報を匿名属性情報が同一のもの同士でグループ化した場合に、各グループに属する匿名ＩＤの個数の最小値が基準匿名性の値を上回るように、匿名化する。
　このような処理に基づき、ある匿名情報が第三者に知られたとしても、その匿名情報の基になった個人情報を提供した人数が「基準匿名性」の数以上であるので、個人の特定は、困難となる。基準匿名性は、例えば、匿名性保証装置２００の管理者が設定する値である。
＜匿名化制御部＞
　匿名化制御部２３１は、個人情報匿名化部２３２に、匿名化レベルを指定して、個人情報データベース２２１に記憶されている個人情報を匿名化させる。また、匿名化制御部２３１は、上記匿名化に基づいて生成された暫定匿名情報を関連情報データベース２２２から取得して、それらの暫定匿名情報が基準匿名性を満たすかどうかを匿名性判定部２３３に判定させる。
　匿名化制御部２３１は、判定の結果、匿名化に基づいて生成された上記匿名情報が基準匿名性を満たしていない場合には、匿名化レベルを変更して、再度、個人情報匿名化部２３２に個人情報を匿名化させる。
　また、匿名化制御部２３１は、判定の結果、匿名化に基づいて生成された上記暫定匿名情報が基準匿名性を満たしている場合には、関連情報データベース２２２から上記暫定匿名情報を読み込み、匿名情報として匿名情報データベース２２５に書き込む。
＜個人情報匿名化部＞
　個人情報匿名化部（特許請求の範囲に記載の記載内容変更部と記載内容別提供者数算出部に相当する）２３２は、匿名化制御部２３１から匿名化レベルを指定した匿名化の要求を受けると、匿名化レベル記憶部２２３を参照し、その匿名化レベルに応じた内容で、個人情報データベース２２１に記憶されている個人情報の匿名化し、暫定匿名情報を作成する。また、個人情報匿名化部２３２は、同一の暫定匿名情報を持つグループに属する匿名ＩＤの数（後述する　ｋ−匿名性）を算出する。また、個人情報匿名化部２３２は、匿名化の際に、個人情報データベース２２１が記憶する各個人名を別の文字列へと変換し「匿名ＩＤ」を作成する。個人情報匿名化部２３２は、上記暫定匿名情報と、匿名ＩＤと、匿名化レベルと、同一の暫定匿名情報を持つグループに属する匿名ＩＤの数と、暫定匿名情報の基となった個人情報識別番号とを関連情報データベース２２２に書き込む。
＜匿名性判定部＞
　匿名性判定部２３３（特許請求の範囲に記載の比較部に相当）は、上記匿名化に基づいて生成される匿名情報の同一の匿名情報を持つグループに属する匿名ＩＤの数の最小値が基準匿名性以上か否かを判定する。
＜匿名情報提供部＞
　匿名情報提供部２４０は、サービス提供者サーバ３００から匿名情報の取得要求を受けると、匿名情報データベース２２５から匿名情報を読み出して、サービス提供者サーバ３００に送信する。
＜ｋ−匿名性＞
　なお、本実施形態において、同一の暫定匿名情報を持つグループに属する匿名ＩＤの数のことを「ｋ−匿名性」と記すこともある。「ｋ−匿名性」は、もちろん、同一の匿名情報を持つグループに属する匿名ＩＤの数や、同一の個人情報を持つグループに属する利用者の人数にも適用できる。
　ｋ−匿名性（ｋ−ａｎｏｎｙｍｉｔｙ）について、図７、図８、図１１、図１２を用いて説明する。本実施形態において、ｋ−匿名性は、以下のように定義される。すなわち、個人情報を匿名化して生成される各匿名情報において、同一の匿名情報の基となった個人情報を提供した利用者が自分自身を含めｋ人以上存在するとき、その匿名情報のｋ−匿名性は、ｋである。ｋ−匿名性は、匿名情報から個人を特定する困難性を表す指標になる。
　図７に示される個人情報データベース２２１に記載される個人情報を、図８に示される匿名化レベル記憶部２２３に記載される匿名化レベル１で匿名化すると、図１１に示すような匿名情報が生成される。
　図１１に示されるテーブルに記載される個人情報識別番号１、２の匿名情報は、電話番号、生年月日、性別の全てにおいて同一である。また、個人情報識別番号１、２の匿名情報の基となった個人情報は、匿名ＩＤがｕｓｅｒ＿Ａとｕｓｅｒ＿Ｂとで表される異なる２人の利用者から提供されたものであることがわかる。従って、個人情報識別番号１、２の匿名情報のｋ−匿名性は、それぞれ２である。
　一方、個人情報識別番号３、４、５の匿名情報は、自分自身以外に、電話番号、生年月日、性別の全てにおいて同一である匿名情報が存在しないため、それぞれｋ−匿名性は、１である。
　図７に示される個人情報データベース２２１に記載される個人情報を、図８に示される匿名化レベル記憶部２２３に記載される匿名化レベル２で匿名化すると、図１２に示されるテーブルに記載される匿名情報が生成される。図１２に示されるテーブルに記載される個人情報識別番号１、２、３で表される３つの匿名情報は、電話番号、生年月日、性別の全てにおいて同一である。また、個人情報識別番号１、２、３の匿名情報の基となった個人情報は、匿名ＩＤがｕｓｅｒ＿Ａ、ｕｓｅｒ＿Ｂ、ｕｓｅｒ＿Ｃで表される異なる３人の利用者から提供されたものであることがわかる。従って、個人情報識別番号１、２、３の匿名情報のｋ−匿名性は、それぞれ３である。同様に、個人情報識別番号４、５の匿名情報のｋ−匿名性は、それぞれ２である。
＜処理の流れ＞
　本実施形態の全体の動作について詳細に説明する。
＜個人情報受信処理＞
　図１３のシーケンス図を参照して、利用者端末１００から個人情報と識別情報とを受信したときの匿名性保証装置２００の動作について説明する。
　個人情報更新受付部２１０は、利用者端末１００から個人情報と識別情報とを受信すると（Ａ１）、受信した個人情報と識別情報とを個人情報データベース２２１に書き込む（Ａ２）。
　また、個人情報更新受付部２１０は、個人情報データベース２２１に記録されている個人情報の匿名化を匿名化制御部２３１に要求する（Ａ３）。
＜匿名化＞
　匿名化制御部２３１は、個人情報更新受付部２１０から匿名化の要求を受けると、個人情報匿名化部２３２に、まずは、匿名化レベルを１に指定した匿名化を指示する（Ａ４）。
　個人情報匿名化部２３２は、匿名化の指示を受けると、個人情報データベース２２１に記憶されている個人情報と識別情報とを読み出して（Ａ５）、それら個人情報と識別情報との匿名化を開始する（Ａ６）。
　まず、個人情報匿名化部２３２は、各個人情報にそれぞれ付属する識別情報（個人名）を匿名ＩＤに置き換える。匿名ＩＤは、個人名を特定できない文字列である。
　次に、個人情報匿名化部２３２は、匿名化レベル記憶部２２３を参照して、各個人情報を、匿名化レベル１で特定される内容で匿名化し、暫定匿名情報を生成する。また、個人情報匿名化部２３２は、匿名化後の各暫定匿名情報に対して、暫定属性情報が同一となる匿名ＩＤの数（ｋ−匿名性）を集計する。
　そして、個人情報匿名化部２３２は、各暫定匿名情報を、匿名ＩＤと、匿名化レベルと、暫定匿名情報が同一の匿名ＩＤの数と、個人情報識別番号と、暫定匿名情報の基となった個人情報識別番号と、それぞれ対応付けて関連情報データベース２２２に記録し（Ａ７）、匿名化制御部２３１に匿名化の完了を通知する（Ａ８）。
　匿名化制御部２３１は、個人情報匿名化部２３２から匿名化の完了通知を受けると、関連情報データベース２２２に記憶されている各暫定匿名情報が、基準匿名性を満たしているか否かの判定を匿名性判定部２３３に要求する（Ａ９）。
　匿名性判定部２３３は、基準匿名性記憶部２２４に記憶されている基準匿名性と、関連情報データベース２２２に記録されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」とを比較する（Ａ１０）。
　匿名性判定部２３３は、比較の結果、関連情報データベース２２２に記憶されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」が基準匿名性未満であれば、その旨を匿名化制御部２３１に通知する（Ａ１１）。
　同様に、匿名性判定部２３３は、比較の結果、関連情報データベース２２２に記憶されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」が基準匿名性以上であれば、その旨を匿名化制御部２３１に通知する（Ａ１１）。
　匿名化制御部２３１は、匿名性判定部２３３から、関連情報データベース２２２に記憶されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」が基準匿名性未満である旨の通知を受けた場合には、匿名化レベルを一つ上げて、再度、個人情報匿名化部２３２に、匿名化を指示する（Ａ１２）。
　以後、匿名化制御部２３１は、匿名性判定部２３３から、関連情報データベース２２２に記憶されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」が基準匿名性以上である旨の通知を受けるまで、匿名化レベルを一つずつ上げて、個人情報匿名化部２３２に匿名化を指示する（Ａ４~Ａ１１）。
　一方、匿名化制御部２３１は、匿名性判定部２３３から、関連情報データベース２２２に記憶されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」が基準匿名性以上である旨の通知を受けると（Ａ１１、Ａ１２）、関連情報データベース２２２に記憶されている暫定匿名情報を読み込み（Ａ１３）、読み込んだ暫定匿名情報を、匿名情報として、匿名情報データベース２２５に書き込む（Ａ１４）。
＜基準匿名性変更時の処理＞
　匿名性保証装置２００の管理者が、基準匿名性を変更した場合の匿名性保証装置２００の動作について説明する。
　匿名性保証装置２００の管理者が、基準匿名性を変更すると、基準匿名性記憶部２２４は、個人情報データベース２２１に記録されている個人情報の匿名化を、匿名化制御部２３１に要求する（Ａ３）。以降の処理は、上記Ａ４~Ａ１４と同様である。
＜個人情報削除要求受信時の処理＞
　図１４のシーケンス図を参照して、利用者端末１００から個人情報削除要求を受信した場合の、匿名性保証装置２００の動作について説明する。個人情報削除要求とは、利用者が匿名性保証装置２００への個人情報の提供を中止したいと考えた場合に、その利用者の利用者端末１００から送信される要求である。
　匿名性保証装置２００は、利用者端末１００から個人情報削除要求を受信した場合には、その利用者の個人情報と識別情報とを個人情報データベース２２１から削除すると共に、関連情報データベース２２２や匿名情報データベース２２５からも、その利用者の個人情報と識別情報とを基に生成された情報を削除する。この場合、匿名情報データベース２２５に記憶されているいずれかの匿名情報が基準匿名性を満たさなくなる可能性がある。
　そのため、本実施形態に係る匿名性保証装置２００は、個人情報削除要求を受信した場合には、以下を処理する。
　個人情報更新受付部２１０は、利用者端末１００から個人情報削除要求を受信する（Ｂ１）。そうすると、個人情報更新受付部２１０は、個人情報削除要求を送信してきた利用者端末１００の利用者の個人情報と識別情報とを個人情報データベース２２１から削除する（Ｂ２）。
　また、個人情報更新受付部２１０は、匿名化制御部２３１に、その利用者の個人情報と識別情報とを基に生成されたすべての情報を、関連情報データベース２２２及び匿名情報データベース２２５からの削除を指示する（Ｂ３）。
　匿名化制御部２３１は、関連情報データベース２２２及び匿名情報データベース２２５から、その利用者の個人情報と識別情報とを基に生成された全ての情報を削除する（Ｂ４、Ｂ５）。なお、前述したように、関連情報データベース２２２及び匿名情報データベース２２５は、匿名情報と、その基となった個人情報との対応付けを、個人情報データベース２２１における個人情報識別番号を用いて記憶している。従って、匿名情報削除要求を受信した匿名化制御部２３１は、削除対象の個人情報と識別情報とを基に作成された情報を特定することができる。
　そして、匿名化制御部２３１は、匿名性判定部２３３に、関連情報データベース２２２に記録されている各暫定匿名情報が、基準匿名性を満たしているか否かの判定を要求する（Ｂ６）。
　匿名性判定部２３３は、基準匿名性記憶部２２４に記憶されている基準匿名性と、関連情報データベース２２２に記録されている「暫定属性情報が同一の匿名ＩＤの数の最小値」とを比較する（Ｂ７）。
　匿名性判定部２３３は、比較の結果、関連情報データベース２２２に記憶されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」が基準匿名性未満であれば、その旨を匿名化制御部２３１に通知する（Ｂ８）。
　同様に、匿名性判定部２３３は、比較の結果、関連情報データベース２２２に記憶されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」が基準匿名性以上であれば、その旨を匿名化制御部２３１に通知する（Ｂ８）。
　匿名化制御部２３１は、匿名性判定部２３３から、関連情報データベース２２２に記憶されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」が基準匿名性未満である旨の通知を受けた場合には（Ｂ８、Ｂ９）、匿名化レベルを一つ上げて、個人情報匿名化部２３２に、匿名化を指示する。この匿名化の際の匿名性保証装置２００の動作は、上記で説明した個人情報受信時における動作（Ａ４~Ａ１４）と同様である。
　一方、匿名化制御部２３１は、匿名性判定部２３３から、関連情報データベース２２２に記憶されている「暫定匿名情報が同一の匿名ＩＤの数の最小値」が基準匿名性以上である旨の通知を受けると（Ｂ８、Ｂ９）、そこで処理を終了する。
　本実施形態に係る匿名性保証装置２００が提供する全ての匿名情報は、必ず基準匿名性を満たしていることが保証される。そのため、利用者は、個人が特定される不安を抱くことなく安心して個人情報を提供することができる。また、利用者は、利用者の個人情報を利用した便利なサービスの提供を受けることが可能となる。
　また、本実施形態に係る匿名性保証装置２００は、サービス利用者から個人情報の追加や削除などの更新要求があった場合、又は基準匿名性に変更があった場合でも、必ず基準匿名性を満たした匿名情報を提供することが可能である。
　なお、本実施形態における個人情報削除要求受信時の匿名性保証装置２００の動作では、個人情報データベース２２１が記憶する個人情報の匿名化の（Ａ４~Ａ１４）前に、削除対象の情報削除後の暫定匿名情報が基準匿名性を満たしているか否か判定する（Ｂ６~Ｂ９）が、判定する前に個人情報データベース２２１に記憶されている個人情報を読み出して、匿名化を開始することもできる。
　この処理に基づき、匿名性保証装置２００が作成する全ての匿名情報は、基準匿名性を満たす範囲の中で最小の匿名化レベルで匿名化されるようにできる。
　従って、本実施形態の匿名性保証装置２００が提供する匿名情報は、必ず基準匿名性を満たしていることが保証されつつ、高い精度を持つことが可能となる。
（第２の実施形態）
　第２の実施形態では、利用者端末１００は、一例として、ＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）を備えた携帯電話機である。
　利用者端末１００は、匿名性保証装置２００に、利用者端末１００の「個人情報」と「携帯識別番号」とを送信する。利用者端末１００が送信する個人情報は、「位置情報」と、「時刻情報」とを含む。「位置情報」は、利用者端末１００の地理的な位置を表し、緯度と経度を含む。「時刻情報」は、ＧＰＳで位置情報を測定した時刻を表す。「携帯識別番号」は、位置情報を提供した携帯電話機を特定できる情報である。
　利用者端末１００が匿名性保証装置２００に個人情報を送信するタイミングは、例えば、一定時間間隔毎としても良いし、利用者端末１００が任意のタイミングで送信してもかまわない。
　匿名性保証装置２００は、利用者端末１００から受信した個人情報と携帯識別番号とを記憶する。また、匿名性保証装置２００は、利用者端末１００から受信した個人情報を匿名化し、匿名情報を作成する。本実施形態における匿名化は、位置情報から、個人情報を提供した利用者端末１００を特定する困難性を高めるよう、位置情報の精度を下げる処理である。
　匿名性保証装置２００は、利用者端末１００から上記個人情報を受信すると、受信した個人情報を匿名化し、匿名情報を作成する。そして、匿名性保証装置２００は、作成した匿名情報をサービス提供者サーバ３００に送信する。
　サービス提供者サーバ３００は、匿名性保証装置２００から受信した匿名情報を利用して、利用者端末１００の地理的な位置情報を考慮に入れたサービスを利用者端末１００に提供する。もしくは、匿名性保証装置２００から受信した匿名情報は、行動分析のデータなどに活用する応用も考えられる。
＜個人情報データベース＞
　第二の実施形態における個人情報データベース２２１の一例を図１５に示す。個人情報データベース２２１は、利用者端末１００から受信した個人情報と携帯識別番号とを記憶する。利用者端末１００から送信される個人情報は、「位置情報」と「時刻情報」とを含む。「位置情報」は、「緯度」と「経度」に用いて表される。図１５の個人情報データベース２２１は、７つの個人情報を記憶している。個人情報データベース２２１が記憶する各個人情報は、それぞれ個人情報識別番号に基づいて識別される。個人情報データベース２２１は、受信した個人情報を、時刻情報の新しい順にソートして記憶してもよい。
＜匿名化レベル記憶部＞
　第二の実施形態における匿名化レベル記憶部２２３の一例を図１６に示す。匿名化レベル記憶部２２３は、匿名化の際に位置情報をどのように匿名化するかを、匿名化レベルごとに記憶する。例えば、図１６に示す匿名化レベル記憶部２２３は、匿名化レベル１からＫまでの匿名化レベル毎に、位置情報をどのように匿名化するかを記憶している。図１６に示す例では、匿名化レベルの値が大きいほど、匿名化の際に位置情報の精度を下げる度合いが大きくなる。例えば、匿名化レベル１で緯度と経度を匿名化すると、緯度と経度の小数点以下３位以下の端数が伏せ字となる。匿名化レベル２では、小数点以下２位以下、匿名化レベル３では小数点以下１位以下、匿名化レベルＫではすべての桁が伏せ字となる。このように、匿名化レベルが高いほど、匿名化の際に位置情報の精度を下げる度合いが大きくなる。
＜関連情報データベース＞
　第二の実施形態における関連情報データベース２２２の一例を図１７に示す。関連情報データベース２２２は、個人情報データベース２２１に記憶されている位置情報を匿名化して生成される「暫定匿名情報」と、「時刻情報」と、「匿名ＩＤ」と、「暫定匿名情報のもとになった個人情報の識別番号」と、「暫定匿名情報の匿名化レベル」と、「暫定属性情報が同一の匿名ＩＤの数」とを匿名情報毎に記憶する。暫定匿名情報は、「匿名化後の緯度」と「匿名化後の経度」とを含む。「暫定匿名情報の匿名化レベル」欄は、その暫定匿名情報がどの匿名化レベルで匿名化されたかを記憶する。
　匿名ＩＤ欄は、個人情報に含まれる「携帯識別番号」を別の文字列に変換することで生成される暫定匿名情報の識別子を記載する。
＜匿名情報データベース＞
　第二の実施形態における匿名情報データベース２２５の一例を図１８に示す。匿名情報データベース２２５は、「匿名情報」と、「時刻情報」と、「匿名ＩＤ」とを記憶する。「匿名情報」とは、前述した暫定匿名情報のうち、基準匿名性を満たしているものを表す。匿名情報は、「匿名化後の緯度」と、「匿名化後の経度」とを含む。匿名情報データベース２２５が記憶する匿名情報は、後述する匿名情報提供部２４０を用いて、サービス提供者サーバ３００に送信される。
＜基準匿名性記憶部＞
　基準匿名性記憶部２２４は、基準匿名性を記憶する。ここで基準匿名性とは、本実施形態に係る匿名化に基づいて生成される匿名情報が満足する個人特定困難性の基準値である。例えば、本実施形態では、匿名性保証装置２００は、作成する全ての匿名情報を、属性が同一のもの同士でグループ化した場合に各グループに属する匿名ＩＤの個数の最小値が基準匿名性の値を上回るように、匿名化する。
　このような処理に基づき、ある匿名情報が第三者に知られたとしても、その匿名情報の基になった個人情報を提供した利用者端末１００の台数が「基準匿名性」の数以上あるので、匿名性保証装置２００は、個人情報を提供した利用者端末１００の特定を困難にできる。基準匿名性は、例えば、匿名性保証装置２００の管理者が設定する値である。
＜匿名化制御部＞
　匿名化制御部２３１は、一定時間間隔毎に、個人情報データベース２２１に蓄積された個人情報を読み出す。匿名化制御部２３１は、個人情報匿名化部２３２に、匿名化レベルを指定し、上記個人情報データベース２２１から読み出した個人情報を匿名化する。
　また、匿名化制御部２３１は、上記匿名化に基づいて生成される暫定匿名情報を関連情報データベース２２２から取得して、それらの暫定匿名情報が基準匿名性を満たすかどうかを匿名性判定部２３３に判定させる。
　匿名化制御部２３１は、判定の結果、匿名化に基づいて生成された上記匿名情報が基準匿名性を満たしていない場合には、匿名化レベルを変更して、再度、個人情報匿名化部２３２に匿名化させる。また、匿名化制御部２３１は、判定の結果、匿名化に基づいて生成された上記暫定匿名情報が基準匿名性を満たしている場合には、関連情報データベース２２２から上記暫定匿名情報を読み込み、匿名情報として匿名情報データベース２２５に書き込む。
＜個人情報匿名化部＞
　個人情報匿名化部２３２は、匿名化制御部２３１から指定される匿名化レベルに応じた内容で、個人情報データベース２２１に記憶されている個人情報を匿名化する。
＜匿名性判定部＞
　匿名性判定部２３３は、上記匿名化に基づいて生成される匿名情報が基準匿名性を満たすかどうかを判定する。
＜匿名情報提供部＞
　匿名情報提供部２４０は、匿名情報データベース２２５から匿名情報を読み出して、サービス提供者サーバ３００に送信する。
＜ｋ−匿名性＞
　ここで、第二の実施形態における「同一の匿名情報を持つ匿名ＩＤの個数（ｋ−匿名性）」について、図１７を用いて説明する。図１７のテーブルにおいて、「緯度　３５．０２Ｘ、経度　１３５．０２Ｘ」という同一の暫定匿名情報が３つ存在している（個人情報識別番号１、３、４で表される暫定匿名情報）。しかし、これら３つの暫定匿名情報は、「緯度　３５．０２Ｘ、経度　１３５．０２Ｘ」で現されるエリア内に３台の利用者端末１００が存在することを意味していない。何故なら、匿名ＩＤがｕｓｅｒ＿Ａで表される同一の利用者端末１００が、時刻を変えて複数回、匿名性保証装置２００に個人情報を送信しているからである。実質、「緯度　３５．０２Ｘ、経度　１３５．０２Ｘ」という暫定匿名情報を提供しているのは、匿名ＩＤがｕｓｅｒ＿Ａとｕｓｅｒ＿Ｃとで表される２台の利用者端末１００である。本願発明ではｋ−匿名性を、匿名情報が同一となる「匿名情報の個数」ではなく、「匿名ＩＤの個数」と定義しているので、個人情報識別番号１、３、４で表される暫定匿名情報のｋ−匿名性は、２である。
＜処理の流れ＞
　本実施形態の全体の動作について詳細に説明する。
＜個人情報受信処理＞
　図１９のシーケンス図を参照して、利用者端末１００から個人情報を受信したときの匿名性保証装置２００の動作について説明する。個人情報更新受付部２１０は、利用者端末１００から個人情報と携帯識別番号とを受信すると（Ｃ１）、受信した個人情報と携帯識別番号とを個人情報データベース２２１に書き込む（Ｃ２）。
＜匿名化＞
　図１９のシーケンス図を参照して、匿名化する際の匿名性保証装置２００の動作について説明する。簡単のため、本実施形態において、基準匿名性は、２とする。
　個人情報更新受付部２１０は、一定時間間隔ごとに、個人情報データベース２２１から読み出した個人情報の匿名化を匿名化制御部２３１に要求する（Ｃ３）。
　あるいは、個人情報更新受付部２１０は、任意のタイミングで個人情報データベース２２１から読み出した個人情報の匿名化を匿名化制御部２３１に要求するように設定することもできる。
　匿名化制御部２３１は、個人情報更新受付部２１０から匿名化の要求を受けると、個人情報匿名化部２３２に、まずは、匿名化レベルを１に指定した匿名化を指示する（Ｃ４）。
　個人情報匿名化部２３２は、匿名化の指示を受けると、個人情報データベース２２１に記憶されている個人情報を読み出す（Ｃ５）。個人情報匿名化部２３２は、上記個人情報データベース２２１から個人情報を読み出す際に、時刻情報が新しい個人情報を読み出す。本実施形態では、匿名化する当日の日付の時刻情報を持つ個人情報を読み出すと仮定する。今、例えば、９月１０日の０１時００分に匿名化するとする。この場合、例えば、個人情報データベース２２１に、図１５が示すような個人情報が記憶されていると仮定すると、個人情報匿名化部２３２は、個人情報識別番号１~６までの個人情報を読み出す。
　個人情報匿名化部２３２は、読み出した個人情報の匿名化を開始する（Ｃ６）。まず、個人情報匿名化部２３２は、各個人情報それぞれ含まれる携帯識別番号を匿名ＩＤに置き換える。匿名ＩＤは、利用者端末１００を特定できない文字列である。
　次に、個人情報匿名化部２３２は、匿名化レベル記憶部２２３を参照して、各個人情報を、匿名化レベル１で特定される内容で匿名化し、暫定匿名情報を生成する。また、個人情報匿名化部２３２は、匿名化後の各暫定匿名情報に対して、暫定属性情報が同一となる匿名ＩＤの数（ｋ−匿名性）を集計する。
　そして、個人情報匿名化部２３２は、各暫定匿名情報を、個人情報識別番号と、匿名ＩＤと、時刻情報と、匿名化レベルと、暫定属性情報が同一の匿名ＩＤの数と、それぞれ対応付けて関連情報データベース２２２に記録し（Ｃ７）、匿名化制御部２３１に匿名化の完了を通知する（Ｃ８）。
　匿名化制御部２３１は、個人情報匿名化部２３２から匿名化の完了通知を受けると、関連情報データベース２２２に記録されている各暫定匿名情報が、基準匿名性を満たしているか否かの判定を匿名性判定部２３３に要求する（Ｃ９）。
　匿名性判定部２３３は、基準匿名性記憶部２２４に記憶されている基準匿名性と、関連情報データベース２２２に記録されている暫定属性情報が同一の匿名ＩＤの数と、を比較する（Ｃ１０）。
　匿名性判定部２３３は、比較の結果、関連情報データベース２２２に記憶されている匿名化後の個人情報の中で、一つでも基準匿名性を満たしていないものがあれば、その旨を匿名化制御部２３１に通知する（Ｃ１１、Ｃ１２）。
　匿名化制御部２３１は、匿名性判定部２３３から、関連情報データベース２２２に記憶されている暫定匿名情報の中で、一つでも基準匿名性を満たしていないものがあった旨の通知を受けた場合には、匿名化レベルを一つ上げて、再度、個人情報匿名化部２３２に、匿名化を指示する（Ｃ４）。
　以後、匿名化制御部２３１は、匿名性判定部２３３から、関連情報データベース２２２に記憶されている全ての暫定匿名情報が基準匿名性を満たしている旨の通知を受けるまで、匿名化レベルを一つずつ上げて、個人情報匿名化部２３２に匿名化を指示する（Ｃ４~Ｃ１１）。
　同様に、匿名性判定部２３３は、比較の結果、関連情報データベース２２２に記憶されている全ての暫定匿名情報が基準匿名性を満たしていれば、その旨を匿名化制御部２３１に通知する（Ｃ１１、Ｃ１２）。本実施形態では、図１７に示すように、匿名化レベル１で匿名化して生成した全ての暫定匿名情報の「匿名化後の属性が同一の匿名ＩＤの数（ｋ−匿名性）」が基準匿名性を満たしているので、匿名化を繰り返すことなくＣ１３以下のステップに進む。
　匿名化制御部２３１は、匿名性判定部２３３から、関連情報データベース２２２に記憶されている全ての個人情報が基準匿名性を満たしている旨の通知を受けると（Ｃ１２）、関連情報データベース２２２に記憶されている暫定匿名情報を読み込み（Ｃ１３）、読み込んだ暫定匿名情報を匿名情報として、匿名情報データベース２２５に書き込む（Ｃ１４）。
＜個人情報削除要求受信時の処理＞
　次に、図２０のシーケンス図を用いて、第二の実施形態における利用者端末１００から個人情報削除要求を受信した場合の匿名性保証装置２００の動作を説明する。個人情報削除要求とは、利用者が匿名性保証装置２００への個人情報の提供を中止したいと考えた場合に、その利用者の利用者端末１００から送信される要求である。
　匿名性保証装置２００は、利用者端末１００から個人情報削除要求を受信した場合には、その利用者の個人情報と識別情報とを個人情報データベース２２１から削除すると共に、関連情報データベース２２２や匿名情報データベース２２５からも、その利用者の個人情報と識別情報とを基に生成された情報を削除する。
　この場合、匿名情報データベース２２５に記憶されているいずれかの匿名情報が基準匿名性を満たさなくなる可能性がある。
　そのため、本実施形態に係る匿名性保証装置２００は、個人情報削除要求を受信した場合には、以下を処理する。
　現在、個人情報データベース２２１は、図１５に示すような個人情報を記憶していると仮定する。匿名性保証装置２００が、携帯識別番号Ａで表される利用者端末１００の利用者から個人情報削除要求を受信したと仮定して、個人情報削除要求を受信した場合の第二の実施形態における匿名性保証装置２００の動作について説明する。
　個人情報更新受付部２１０は、利用者端末１００から個人情報削除要求を受信する（Ｄ１）。そうすると、個人情報更新受付部２１０は、個人情報削除要求を送信してきた利用者端末１００の利用者の個人情報と識別情報とを個人情報データベース２２１から削除する（Ｄ２）。
　また、個人情報更新受付部２１０は、匿名化制御部２３１に、その利用者の個人情報と識別情報とを基に生成されたすべての情報の、関連情報データベース２２２及び匿名情報データベース２２５からの削除を指示する（Ｄ３）。匿名化制御部２３１は、関連情報データベース２２２及び匿名情報データベース２２５から、その利用者の個人情報と識別情報とを基に生成された全ての情報を削除する（Ｄ４、Ｄ５）。削除後の関連情報データベース２２２が記憶する暫定匿名情報を、図２１に示す。
　なお、前述したように、匿名情報データベース２２５は、匿名情報と、その基となった個人情報との対応付けを、個人情報データベース２２１における個人情報識別番号を用いて記憶している。従って、匿名情報削除要求を受信した匿名化制御部２３１は、削除対象の個人情報を基に作成された匿名情報を特定できる。
　そして、匿名化制御部２３１は、匿名性判定部２３３に、関連情報データベース２２２に記録されている各暫定匿名情報が、基準匿名性を満たしているか否かの判定を要求する（Ｄ６）。
　匿名性判定部２３３は、基準匿名性記憶部２２４に記憶されている基準匿名性と、関連情報データベース２２２が記録している同一の暫定匿名情報を持つ匿名ＩＤの数とを比較する（Ｄ７）。
　図２１を参照すると、携帯識別番号Ａから受信した個人情報を基に作成された暫定匿名情報が関連情報データベース２２２から削除された結果、個人情報識別番号２，４，５いずれの前提匿名情報も「匿名化後の属性が同一の匿名ＩＤの数（ｋ−匿名性）」が基準匿名性（＝２）を満たせなくなることがわかる。個人情報識別番号２、５の暫定匿名情報は、緯度、経度とも同一であるが、個人情報識別番号２、５の暫定匿名情報の基となった個人情報を提供した利用者端末は、匿名ＩＤがｕｓｅｒ＿Ｂで表される１台である。従って、個人情報識別番号２、５の暫定匿名情報の「匿名化後の属性が同一の匿名ＩＤの数（ｋ−匿名性）」は、１である。これは、基準匿名性（＝２）を満たさない。
　匿名性判定部２３３は、比較の結果、関連情報データベース２２２に記憶されている暫定匿名情報の中で、一つでも基準匿名性を満たしていないものがあれば、その旨を匿名化制御部２３１に通知する（Ｄ８）。
　同様に、匿名性判定部２３３は、比較の結果、関連情報データベース２２２に記憶されている全ての暫定匿名情報が基準匿名性を満たしていれば、その旨を匿名化制御部２３１に通知する（Ｄ８）。
　匿名化制御部２３１は、匿名性判定部２３３から、関連情報データベース２２２に記憶されている暫定匿名情報の中で、一つでも基準匿名性を満たしていないものがあった旨の通知を受けた場合には（Ｄ８、Ｄ９）、匿名化レベルを一つ上げて、個人情報匿名化部２３２に、匿名化を指示する。この匿名化の際の匿名性保証装置２００の動作は、上記説明した個人情報受信時における動作（Ｃ４~Ｃ１４）と同様である。
　本実施形態では、匿名化レベル１での匿名化の結果生成した暫定匿名情報が基準匿名性を満たさないので、匿名化レベル２で再度匿名化することになる。
　匿名化レベル２で匿名化して生成した暫定匿名情報を図２２に示す。図２２において、個人情報識別番号２、４、５の暫定匿名情報は、緯度、経度とも同一で、基となった個人情報はｕｓｅｒ＿Ｂとｕｓｅｒ＿Ｃの２台の利用者端末から受信したことがわかる。従って、個人情報識別番号２、４、５の暫定匿名情報は、「匿名化後の属性が同一の匿名ＩＤの数（ｋ−匿名性）」が２である。この処理に基づき、すべての暫定匿名情報が基準匿名性（＝２）を満たすので、暫定匿名情報は、匿名情報データベース２２５に匿名情報として記憶される（図２３）
　本実施形態に係る匿名性保証装置２００に基づけば、匿名性保証装置２００が提供する全ての匿名情報は、必ず基準匿名性を満たしていることが保証される。そのため、利用者は、個人が特定される不安を抱くことなく安心して利用者端末の位置情報を提供することができる。また、利用者は、利用者端末の地理的な情報を利用した便利なサービスの提供を受けることが可能となる。
（第３の実施形態）
　第３の実施形態では、匿名化レベル記憶部２２３は、緯度経度と地域メッシュコードとの対応関係を記憶するテーブルと、図２４に示すような、匿名化レベルと地域メッシュコードの次数とを対応して記憶するテーブルとの、２つのテーブルを記憶する。
　地域メッシュコードとは、総務省が定めた「統計に用いる標準地域メッシュおよび標準地域メッシュコード」（昭和４８年行政管理庁告示第１４３号）のことである。地域メッシュコードは、統計に利用するために、地図を緯度及び経度に沿って区画して成る区域を、識別子を用いて表現した位置情報の識別情報である。
　地域メッシュコードは、階層的な構造をしており、区域の広い順に、第一次メッシュ、第二次メッシュ、第三次メッシュ、２分の１地域メッシュの４階層から成る。第一次メッシュの中には、６４個の第二次メッシュが包含される。第二次メッシュの中には、１００個の第三次メッシュが包含される。第三次メッシュの中には、４つの２分の１地域メッシュが包含される。地域メッシュは、各階層の区域の識別子を列挙した形で表現される。
　第一次メッシュは、４桁の数字で表される。第一次メッシュは、２０万分の１の地勢図の１図葉の区画を１単位区画としたもので、緯度差は４０分、経度差は１度となっている。１辺の長さは約８０ｋｍである。一次メッシュコードは、４桁の数字で、上２桁が緯度（１．５倍して分以下を切り上げたもの）、下２桁が経度（下２桁）を表す。
　第二次メッシュは、第一次メッシュと合わせて３５７０−１２のように表される。上４桁の３５７０が第一次メッシュを、続く１２が第二次メッシュを表す。第二次メッシュは、第一次メッシュを緯線方向及び経線方向に８等分してできる区域で、１辺の長さは約１０ｋｍである。第二次メッシュコードは、２桁の数字で、上１桁が緯度方向、下１桁が経度方向を表す。
　第三次メッシュは、緯線方向及び経線方向に１０等分してできる区域であり、緯度差は３０秒、経度差は４５秒で、１辺の長さは約１ｋｍである。第三次メッシュコードは、第二次メッシュコードと同様に２桁の数字で、上１桁が緯度方向、下１桁が経度方向を表す。これに第一次・第二次メッシュコードを合せて、第三次メッシュは、３５７０−１２−３４のように表す。
　さらに細かな地域区分として２分の１地域メッシュがある。２分の１地域メッシュは、第三次メッシュを縦横に２等分したものである。南西側のメッシュを１、南東を２、北西を３、北東を４として、２分の１地域メッシュは、３５７０−１２−３４−３のように表す。
　本実施形態における個人情報匿名化について図１９を用いて説明する。第二の実施形態との差異があるのはＣ６のステップである。
　まず、個人情報匿名化部２３２は、各個人情報にそれぞれ含まれる携帯識別番号を匿名ＩＤに置き換える。匿名ＩＤは、利用者端末１００を特定できない文字列である。
　次に、個人情報匿名化部２３２は、匿名化レベル記憶部２２３を参照して、各個人情報の緯度、経度で表される位置情報を地域メッシュコードに変換する。それから、個人情報匿名化部２３２は、地域メッシュコードに変換された各個人情報の位置情報に対して、図２４に示すような匿名化レベルと処理内容とを対応させたテーブルを参照して、匿名化レベル１で特定される内容で匿名化し、暫定匿名情報を生成する。また、個人情報匿名化部２３２は、匿名化後の各暫定匿名情報に対して、暫定属性情報が同一となる匿名ＩＤの数（ｋ−匿名性）を集計する。他の処理に関しては、第二の実施形態と同様である。
　本実施形態に係る匿名性保証装置２００に基づけば、匿名性保証装置２００が提供する全ての匿名情報は、必ず基準匿名性を満たしていることが保証される。そのため、利用者は、個人が特定される不安を抱くことなく安心して個人情報を提供することができる。また、利用者は、利用者端末の地理的な情報を利用した便利なサービスの提供を受けることが可能となる。
　また、地域メッシュコードは、総務省が定めたものであり、各種統計によく用いられている。従って、匿名性保証装置２００から受信した匿名情報を、行動分析のデータなどに活用したときに、例えば、他の統計情報と組み合わせて分析することが容易である。もちろん、地域メッシュコードは、総務省が定めたもの以外にも、独自に作成したものを用いても良い。
（その他の実施形態）
　匿名化レベル記憶部（特許請求の範囲に記載のアルゴリズム定義部に相当する）２２３が記憶する処理内容は、個人情報の記載内容の一部を削除する処理を含むことができる。
　匿名化レベル記憶部（特許請求の範囲に記載のアルゴリズム定義部に相当する）２２３が記憶する処理内容は、個人情報の記載内容の一部をより上位概念の語句に置き換える処理を含むことができる。
　個人情報データベース２２１が記憶する個人情報は、匿名性保証装置（特許請求の範囲に記載の情報処理装置に相当する）２００と通信可能に接続される複数の携帯電話機のそれぞれの位置情報を含むことができる。各携帯電話機の位置情報は、各携帯電話機の所在地の緯度および経度を示す情報を含むことができる。匿名化レベル記憶部２２３が記憶する処理内容は、緯度および経度の少なくとも一方の精度を下げる処理を含むことができる。
　匿名化レベル記憶部（特許請求の範囲に記載のアルゴリズム定義部に相当する）２２３は、地図を緯度及び経度に沿って階層的に区画して成る最下層の区域をその区域を包含する各階層の区域の識別子を階層順に列挙して表現した識別情報と、最下層の区域の範囲を緯度及び経度で表した情報とを各最下層の区域についてそれぞれ対応付けて記憶すると共に、最下層の区域の識別情報を構成する各階層の識別子のうち、最下層の識別子からどの階層までの識別子を削除するかを示す複数のアルゴリズムを、より上位階層まで削除するアルゴリズムほど大きな数値となるアルゴリズム識別情報と対応付けて記憶することができる。
　個人情報匿名化部（特許請求の範囲に記載の記載内容変更部と記載内容別提供者数算出部に相当する）２３２は、アルゴリズム定義部を参照し、個人情報データベース２２１に記憶されている各携帯電話機の所在地の緯度及び経度を示す各情報を、それぞれ対応する最下層の区域の識別情報に変換し、各識別情報を構成する各階層の識別子のうち最下層の識別子からアルゴリズムで定まる階層の識別子までを削除することができる。
　アルゴリズムは、個人情報の記載内容の一部を削除する処理を含むことができる。
　アルゴリズムは、個人情報の記載内容の一部をより上位概念の語句に置き換える処理を含むことができる。
　各携帯電話機の位置情報は、各携帯電話機の所在地の緯度および経度を示す情報を含むことができる。
　アルゴリズムは、緯度および経度の少なくとも一方の精度を下げる処理を含むことができる。
　アルゴリズム定義部は、地図を緯度及び経度に沿って階層的に区画して成る最下層の区域をその区域を包含する各階層の区域の識別子を階層順に列挙して表現した識別情報と、最下層の区域の範囲を緯度及び経度で表した情報とを各最下層の区域についてそれぞれ対応付けて記憶すると共に、最下層の区域の識別情報を構成する各階層の識別子のうち、最下層の識別子からどの階層までの識別子を削除するかを示す複数のアルゴリズムを、より上位階層まで削除するアルゴリズムほど大きな数値となるアルゴリズム識別情報と対応付けて記憶することができる。
　記載内容変更部は、アルゴリズム定義部を参照し、個人情報データベースに記憶されている各携帯電話機の所在地の緯度及び経度を示す各情報を、それぞれ対応する最下層の区域の識別情報に変換し、各識別情報を構成する各階層の識別子のうち最下層の識別子からアルゴリズムで定まる階層の識別子までを削除することができる。
　なお、本発明の匿名性保証装置は、図２に示す構成に限らない。
　図２５は、本発明の別の実施形態に係る匿名性保証装置２５０の構成の一例を示すブロック図である。図２５において、図２と同じ構成には同じ番号を付し詳細な説明は、省略する。
　図２５に示す匿名性保証装置２５０は、個人情報データベース２２１と、匿名化レベル記憶部２２３と、個人情報匿名化部２３２と、匿名性判定部２３３とを含む。個人情報匿名化部２３２は、記載内容変更部２３４と、記載内容別提供者数算出部２３５とを含む。
　個人情報データベース２２１は、複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する。匿名化レベル記憶部２２３は、各個人情報の記載内容を匿名化する内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶する。記載内容変更部２３４は、個人情報データベース２２１に記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する。記載内容別提供者数算出部２３５は、変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する。匿名性判定部２３３は、各提供者数のうちの最小値を所定の基準値と比較する。そして、記載内容変更部２３４が、最小値が基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで個人情報データベース２２１に記憶されている各個人情報の記載内容を変更する。匿名性保証装置２５０は、これら処理を繰り返すして、匿名性保証装置２００と同様の効果を実現する。
　ここで、匿名性保証装置２５０は、特許請求の範囲に記載の情報処理装置に相当し、匿名化レベル記憶部２２３は、特許請求の範囲に記載のアルゴリズム定義部に相当し、匿名性判定部２３３は、特許請求の範囲の比較部に相当する。
　なお図２５に示す匿名性保証装置２５０は、本発明の最小構成となっている。
　以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　この出願は、２０１０年５月１０日に出願された日本出願特願２０１０−１０８０５０を基礎とする優先権を主張し、その開示の全てをここに取り込む。

　１００　利用者端末
　１００Ａ　利用者端末
　１００Ｂ　利用者端末
　１１０　個人情報送信部
　１２０　サービス要求送信部
　１３０　サービス受信部
　２００　匿名性保証装置
　２０１　ＣＰＵ
　２０２　メモリ
　２０３　ポート
　２０４　ハードディスクドライブ
　２０５　記録媒体
　２０６　記録媒体読取装置
　２０７　入力装置
　２０８　出力装置
　２１０　個人情報更新受付部
　２２０　データベース
　２２１　個人情報データベース
　２２２　関連情報データベース
　２２３　匿名化レベル記憶部
　２２４　基準匿名性記憶部
　２２５　匿名情報データベース
　２３０　個人情報匿名化プログラム
　２３１　匿名化制御部
　２３２　個人情報匿名化部
　２３３　匿名性判定部
　２３４　記載内容変更部
　２３５　記載内容別提供者数算出部
　２４０　匿名情報提供部
　３００　サービス提供者サーバ
　３１０　サービス要求受信部
　３２０　匿名情報要求部
　３３０　匿名情報取得部
　３４０　サービス実行部
　３５０　サービス送信部
　４００　ネットワーク
　１０００　匿名性保証システム

Claims (10)

1. 　複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する個人情報データベースと、
   　前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶するアルゴリズム定義部と、
   　前記個人情報データベースに記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する記載内容変更部と、
   　変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する記載内容別提供者数算出部と、
   　前記各提供者数のうちの最小値を所定の基準値と比較する比較部とを含み、
   　前記記載内容変更部が、前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返す情報処理装置。
2. 　請求項１に記載の情報処理装置であって、
   　前記記載内容変更部は、前記最小値が前記基準値以上である場合には、変更後の各記載内容をそれぞれ匿名情報として匿名情報データベースに記録することを特徴とする情報処理装置。
3. 　請求項１又は請求項２に記載の情報処理装置であって、前記アルゴリズム識別情報が、各アルゴリズムに基づいて記載内容を変更した場合に見込まれる変更後の記載内容の該当者数に応じて定められることを特徴とする情報処理装置。
4. 　請求項１乃至請求項３のいずれかに記載の情報処理装置であって、
   　前記記載内容変更部が、前記アルゴリズム定義部に記憶されているアルゴリズムに従って各記載内容を変更する際に、変更後の記載内容の該当者数が少ないと見込まれるアルゴリズムから順に各アルゴリズムを選択することを特徴とする情報処理装置。
5. 　請求項１乃至請求項４のいずれかに記載の情報処理装置であって、
   　前記個人情報データベースに記憶されている各個人情報の記載内容を変更した結果、一旦、前記最小値が前記基準値以上となった後に、前記個人情報データベースに記憶されている個人情報のいずれかが削除された場合には、
   　前記記載内容変更部が、前記個人情報データベースに記憶されている残りの各個人情報について、前記最小値が前記基準値以上になるまで再度各記載内容を変更することを特徴とする情報処理装置。
6. 　請求項１乃至請求項４のいずれかに記載の情報処理装置であって、
   　前記個人情報データベースに記憶されている各個人情報の記載内容の変更した結果、一旦、前記最小値が前記基準値以上となった後に、前記個人情報データベースに記憶されている個人情報のいずれかが削除された場合には、
   　前記記載内容別提供者数算出部が、前記削除された個人情報以外の各個人情報について、変更後の記載内容に変更される個人情報の提供者数を、変更後の記載内容毎に再度算出し、
   　前記比較部が、前記各提供者数のうちの最小値を所定の基準値と再度比較し、
   　前記記載内容変更部が、前記最小値が前記基準値以上でない場合に、前記個人情報データベースに記憶されている残りの各個人情報について、前記最小値が前記基準値以上になるまで再度各記載内容を変更することを特徴とする情報処理装置。
7. 　請求項１乃至請求項６のいずれかに記載の情報処理装置であって、
   　前記各個人情報は、前記情報処理装置と通信可能に接続される複数の携帯電話機のそれぞれの位置情報を含むことを特徴とする情報処理装置。
8. 　請求項１乃至請求項７のいずれかに記載の情報処理装置であって、
   　前記個人情報データベースに記憶される各個人情報の提供元である複数の提供者端末と、前記匿名情報データベースに記憶される各匿名情報を利用した情報を処理し、前記情報処理の結果を前記提供者端末に送信するサービス提供者サーバと、に通信可能に接続され、
   　前記匿名情報データベースに記憶されている各匿名情報を、前記サービス提供者サーバに送信する匿名情報提供部と、を備えることを特徴とする情報処理装置。
9. 　複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶し、
   　前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶し、
   　前記記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更し、
   　変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出し、
   　前記各提供者数のうちの最小値を所定の基準値と比較し、
   　前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返す制御方法。
10. 　複数の個人情報を、各個人情報の提供者の識別情報とそれぞれ対応付けて記憶する手順と、
    　前記各個人情報の記載内容を曖昧化する処理内容を定義した複数種類のアルゴリズムを、アルゴリズム識別情報とそれぞれ対応付けて記憶する手順と、
    　前記記憶されている各個人情報の記載内容を、所定のアルゴリズム識別情報に対応するアルゴリズムに従って変更する手順と、
    　変更後の記載内容毎に、各変更後の記載内容に変更される個人情報の提供者数を算出する手順と、
    　前記各提供者数のうちの最小値を所定の基準値と比較する手順と、
    　前記最小値が前記基準値以上になるまで、各アルゴリズム識別情報に対応するアルゴリズムで前記個人情報データベースに記憶されている各個人情報の記載内容を変更する処理を繰り返す手順と、をコンピュータに実行させるプログラム。

Images