WO2013027785A1 - 匿名化装置、匿名化方法、及びそのためのプログラムを記録した記録媒体 - Google Patents

匿名化装置、匿名化方法、及びそのためのプログラムを記録した記録媒体 Download PDF

Info

Publication number
WO2013027785A1
WO2013027785A1 PCT/JP2012/071250 JP2012071250W WO2013027785A1 WO 2013027785 A1 WO2013027785 A1 WO 2013027785A1 JP 2012071250 W JP2012071250 W JP 2012071250W WO 2013027785 A1 WO2013027785 A1 WO 2013027785A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
analysis
disclosure
analysis result
anonymity
Prior art date
Application number
PCT/JP2012/071250
Other languages
English (en)
French (fr)
Inventor
貴之 佐々木
諒 古川
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to CA2846471A priority Critical patent/CA2846471A1/en
Priority to JP2013530049A priority patent/JP5983611B2/ja
Priority to US14/240,720 priority patent/US20140208437A1/en
Priority to EP12825309.3A priority patent/EP2750074A4/en
Publication of WO2013027785A1 publication Critical patent/WO2013027785A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/02—Marketing; Price estimation or determination; Fundraising
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification

Definitions

  • the present invention relates to an anonymization device that controls the disclosure of privacy information, an anonymization method, and a program therefor.
  • the information providing system described in Patent Document 1 calculates an evaluation value of a statistical object in consideration of the importance of a user with respect to a category of administrative statistical information. Then, the information providing system extracts and provides statistical target information suitable for the user using the calculated evaluation value.
  • the information providing system described in Patent Document 1 has a problem that privacy protection (anonymity) of statistical information (information related to privacy information) including personal information is not considered.
  • An example of a data disclosure apparatus corresponding to the above-described problem is described in Patent Document 2.
  • the data disclosure apparatus of Patent Literature 2 calculates anonymity of the privacy information.
  • the data disclosure device changes the granularity of the privacy information to be disclosed based on a prescribed rule held in the system to ensure the desired anonymity Output privacy information.
  • the data disclosure apparatus of the above-described technical document 2 changes the granularity of the privacy information to be disclosed based on a prescribed rule held in the system in order to obtain desired anonymity. Therefore, there may be a case where the privacy information output from the data disclosure apparatus is not useful to the user. In such a case, the user cannot know how to obtain useful privacy information. That is, the data disclosure apparatus has a problem that the user cannot indicate what to do in order to obtain useful privacy information.
  • An object of the present invention is to provide an anonymization device, an anonymization method, and a program therefor that can solve the above-described problems.
  • An anonymization apparatus includes, for privacy information including at least one individual personal information, an analysis instruction including analysis target information indicating the personal information to be analyzed and analysis method information indicating an analysis method
  • the analysis means for outputting the analysis result of the privacy information based on the information, and the analysis based on the disclosure request including the disclosure target information indicating the disclosure target and the disclosure format information indicating the disclosure format for the privacy information
  • An instruction is generated, output to the analysis unit, and based on the anonymity of the analysis result received from the analysis unit, for increasing the anonymity for at least one of the disclosure target information and the disclosure format information
  • Feedback information generating means for generating and outputting a disclosure response including feedback information suggesting a change.
  • the privacy information including personal information for each individual at least one or more of the computer includes analysis target information indicating the personal information to be analyzed and analysis method information indicating the analysis method.
  • An analysis result of the privacy information is output based on an analysis instruction, and the analysis is performed based on a disclosure request including disclosure target information indicating a disclosure target and disclosure format information indicating a disclosure format for the privacy information.
  • An indication is generated and outputted, and based on the anonymity of the analysis result, a disclosure response including feedback information suggesting a change for increasing the anonymity of at least one of the disclosure target information and the disclosure format information Is generated and output.
  • the program recorded in the non-volatile storage medium of the present invention is a computer program comprising: analysis target information indicating the personal information to be analyzed, and an analysis method for privacy information including at least one individual personal information. Based on an analysis instruction including the analysis method information to be displayed, the analysis result of the privacy information is output, and the privacy information includes a disclosure target information indicating a disclosure target and a disclosure format information indicating a disclosure format The analysis instruction is generated and output based on the analysis result, and the change for increasing the anonymity is suggested for at least one of the disclosure target information and the disclosure format information based on the anonymity of the analysis result. A disclosure response including feedback information is generated and output.
  • the effect of the present invention is that it can indicate what a user should do to obtain useful privacy information.
  • FIG. 1 is a block diagram showing the configuration of the first embodiment.
  • FIG. 2 is a diagram illustrating an example of privacy information according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of sample information according to the first embodiment.
  • FIG. 4 is a diagram illustrating an example of a disclosure request according to the first embodiment.
  • FIG. 5 is a diagram illustrating an example of an analysis instruction in the first embodiment.
  • FIG. 6 is a diagram illustrating an example of an analysis result in the first embodiment.
  • FIG. 7 is a diagram illustrating an example of a disclosure response according to the first embodiment.
  • FIG. 8 is a block diagram illustrating a hardware configuration according to the first embodiment.
  • FIG. 9 is a diagram illustrating an example of an analysis result in the first embodiment.
  • FIG. 1 is a block diagram showing the configuration of the first embodiment.
  • FIG. 2 is a diagram illustrating an example of privacy information according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of sample information according to
  • FIG. 10 is a flowchart illustrating the operation of the anonymization device according to the first embodiment.
  • FIG. 11 is a diagram illustrating an example of a disclosure response according to the second embodiment.
  • FIG. 12 is a block diagram showing the configuration of the second exemplary embodiment of the present invention.
  • FIG. 13 is a block diagram illustrating an example of a non-volatile storage medium on which a program is recorded.
  • FIG. 1 is a block diagram showing the configuration of the first exemplary embodiment of the present invention.
  • the anonymization device 100 includes an analysis unit 110 and a feedback information generation unit 120.
  • the analysis unit 110 of the anonymization apparatus 100 analyzes privacy information based on an analysis instruction that instructs analysis of privacy information, and outputs an analysis result.
  • the analysis instruction includes, for privacy information including at least one individual personal information, analysis target information indicating personal information to be analyzed and analysis method information indicating the analysis method.
  • the analysis unit 110 In the operation of analyzing privacy information, the analysis unit 110 first selects personal information to be analyzed from the privacy information based on the analysis target information included in the analysis instruction. Hereinafter, personal information to be analyzed among privacy information selected based on the analysis target information is referred to as sample information. Next, the analysis unit 110 analyzes the sample information based on the analysis method information. The analysis unit 110 outputs the analysis result of the analysis to the feedback information generation unit 120.
  • the analysis result is, for example, a list of attribute values. Details of the attribute value will be described later.
  • the analysis result may be a parameter of the fitted function (details will be described later). Note that the case where the analysis result is a parameter of the fitted function will be described in detail in a third embodiment described later.
  • the analysis result may be an analysis result by any data analysis method other than the above.
  • the feedback information generation unit 120 of the anonymization device 100 receives a disclosure request.
  • the feedback information generation unit 120 receives a disclosure request from, for example, an external device (not shown) via a communication unit 1075 shown in FIG.
  • the disclosure request includes, for privacy information, disclosure target information indicating a disclosure target and disclosure format information indicating a disclosure format.
  • the feedback information generation unit 120 generates an analysis instruction based on the received disclosure request, and outputs the analysis instruction to the analysis unit 110.
  • the feedback information generation unit 120 generates analysis target information based on the disclosure target information, generates disclosure method information based on the disclosure target information and the disclosure format information, and generates an analysis instruction.
  • the feedback information generation unit 120 determines the anonymity of the analysis result received from the analysis unit 110, and further generates and outputs a disclosure response including feedback information based on the determination result of the anonymity. For example, when anonymity is lower than a predetermined level (threshold), the feedback information generation unit 120 may output a disclosure response including feedback information on the display so that the user can see it. In this case, the disclosure response does not include the analysis result. Further, when the anonymity is higher than a predetermined level (threshold), the feedback information generation unit 120 may output an analysis result as a disclosure response to the display.
  • the anonymity of the analysis result is, for example, k-anonymity.
  • the anonymity of the analysis result may be l-diversity.
  • the anonymity of the analysis result may be the information amount of the fitted function.
  • the anonymity of the analysis result may be any anonymity index other than the above.
  • the feedback information is information suggesting a change in at least one of the disclosure target information and the disclosure format information.
  • the feedback information generation unit 120 may have a function of changing the disclosure target information and the disclosure format information based on the feedback information and outputting the information to the analysis unit 110. In this case, the feedback information generation unit 120 sets the disclosure target information and the disclosure format information so that the anonymity of the analysis result 640 after the change of the disclosure request is higher than the anonymity of the analysis result 640 before the change of the disclosure request. It is preferable to change at least one of them.
  • FIG. 2 is a diagram illustrating an example of privacy information 600 received by the analysis unit 110.
  • the privacy information 600 is composed of records including age information 601 and hobby information 602 as attribute information.
  • the attribute information includes an attribute name (for example, “age information”) and an attribute value (for example, the value of age information 601 such as “30”).
  • the attribute name is also called the type of attribute information.
  • FIG. 3 is a diagram illustrating an example of the sample information 610 selected by the analysis unit 110 based on the analysis target information included in the analysis instruction.
  • the sample information 610 is composed of records including age information 601 and hobby information 602 as attribute information.
  • FIG. 4 is a diagram illustrating an example of a disclosure request 620 received by the feedback information generation unit 120.
  • the disclosure request 620 includes disclosure target information 621 and disclosure format information 622.
  • the disclosure target information 621 includes, for example, a range of privacy information 600 to be analyzed (a person whose age range is in their 30s), such as “hobby information of people in their 30s age range”, and a target of analysis. This is information indicating the type of attribute information (hobby information).
  • the range of the privacy information 600 may be, for example, a range obtained by combining arbitrary ranges of organization names, age ranges, sexes, regions, time zones, and other arbitrary attributes.
  • the type of attribute information indicated by the disclosure target information 621 may be any number of types of attribute information.
  • the disclosure format information 622 is information indicating the disclosure format of the privacy information 600 (sample information 610).
  • the disclosure format information 622 is information indicating a format for disclosing the analysis result of the privacy information 600 such as creating and displaying a list of attributes and creating and displaying a histogram.
  • FIG. 5 is a diagram illustrating an example of the analysis instruction 630 that the feedback information generation unit 120 outputs to the analysis unit 110.
  • the analysis instruction 630 includes analysis target information 631 (for example, “30's”) and analysis method information 632 (for example, “create a hobby information list”).
  • the analysis target information 631 is information indicating a range of sample information 610 (information to be analyzed in the privacy information 600) generated by the analysis unit 110.
  • the analysis target information 631 is, for example, information in which an arbitrary range is combined among an organization name, age range, sex, region, time zone, and other arbitrary attributes.
  • the analysis target information 631 is an organization name (for example, “Company A”)
  • the sample information 610 has an attribute name “Organization name information” and an attribute value “Company A” in the privacy information 600. It is composed of records that contain attribute information.
  • the analysis method information 632 is information indicating a method for analyzing the sample information 610 and a format of an analysis result to be generated.
  • the analysis method information 632 is information indicating that a list is generated for attribute values of specific attribute names (for example, “hobby information”) in the sample information 610.
  • the analysis method information 632 is, for example, “generate a list of hobby information”.
  • FIG. 6 is a diagram illustrating an example of the analysis result 640 output by the analysis unit 110. As shown in FIG. 6, the analysis result 640 is, for example, a list of hobby information.
  • FIG. 7 is a diagram illustrating an example of the disclosure response 650 generated by the feedback information generation unit 120. As shown in FIG. 7, the disclosure response 650 includes feedback information 651.
  • the feedback information 651 is information suggesting a change in the content of at least one of the disclosure target information 621 and the disclosure format information 622. Therefore, the feedback information 651 may be information that suggests a change in the contents of both the disclosure target information 621 and the disclosure format information 622.
  • the feedback information 651 is information that suggests, for example, expanding the age range that is the disclosure target information 621 (for example, changing “30s” to “30s and 40s”).
  • the feedback information 651 may be information suggesting a change in the number of iterations of iteration (number of iterations), for example.
  • the above is the description of the outline of the anonymization device 100.
  • FIG. 8 is a diagram illustrating a hardware configuration of the anonymization device 100 and its peripheral devices in the present embodiment. As illustrated in FIG. 8, the anonymization device 100 includes a CPU (Central Processing Unit) 1070, a storage unit 1071, a storage device 1072, an input unit 1073, an output unit 1074, and a communication unit 1075.
  • CPU Central Processing Unit
  • the CPU 1070 controls the overall operation of the anonymization device 100 according to the present embodiment by operating an operating system (not shown). Further, the CPU 1070 reads programs and data into the storage unit 1071 from, for example, a non-volatile recording medium (not shown) attached to the storage device 1072. The CPU 1070 executes various processes as the analysis unit 110 and the feedback information generation unit 120 illustrated in FIG. 1 according to the read program and based on the read data. Note that the CPU 1070 may download any of the programs and data to the storage unit 1071 from an external computer (not shown) connected to a communication network (not shown). The storage unit 1071 stores any program and data. The storage unit 1071 may store sample information 610 as shown in FIG.
  • the storage device 1072 is, for example, an optical disk, a flexible disk, a magnetic optical disk, an external hard disk, and a semiconductor memory, and includes a nonvolatile storage medium.
  • the storage device 1072 records the program so that it can be read by a computer. Further, the storage device 1072 may record data so as to be computer-readable.
  • the storage device 1072 may store sample information 610.
  • the input unit 1073 is realized by, for example, a mouse, a keyboard, a built-in key button, and the like, and is used for an input operation.
  • the input unit 1073 is not limited to a mouse, a keyboard, and a built-in key button, and may be a touch panel, an accelerometer, a gyro sensor, a camera, or the like.
  • the input unit 1073 is used to input a disclosure request 620, for example.
  • the input unit 1073 may input the privacy information 600.
  • the output unit 1074 is realized by, for example, a display, and is used to confirm the disclosure response 650, for example.
  • the communication unit 1075 communicates with an external device (not shown).
  • the anonymization device 100 may acquire the sample information 610 held by the external device via the communication unit 1075.
  • the anonymization device 100 may receive the disclosure request 620 from an external device via the communication unit 1075.
  • the anonymization device 100 may output the disclosure response 650 to the external device via the communication unit 1075.
  • the communication unit 1075 may be included in the analysis unit 110 and the feedback information generation unit 120. The above is an explanation of each component of the anonymization device 100 in hardware units.
  • FIG. 13 is a diagram illustrating an example of a recording medium (storage medium) 1077 that records (stores) a program.
  • the recording medium 1077 is a non-volatile recording medium that stores information non-temporarily. Note that the recording medium 1077 may be a recording medium that temporarily stores information.
  • the recording medium 1077 records a code of a program (software) that causes the anonymization device 100 (CPU 1070) to execute the operation illustrated in FIG.
  • the recording medium 1077 may further record an arbitrary program and data. Further, the recording medium 1077 in which the program (software) code is recorded is supplied to the anonymization apparatus 100, and the anonymization apparatus 100 (CPU 1070) reads and executes the program code stored in the recording medium. Good.
  • the CPU 1070 may store the code of the program stored in the recording medium 1077 in the storage unit 1071. That is, the present embodiment includes an embodiment of a recording medium that stores a program executed by the anonymization device 100 (CPU 1070) temporarily or non-temporarily.
  • the analysis unit 110 will be described in more detail.
  • the analysis unit 110 analyzes the sample information 610 (information selected from the privacy information 600) based on the analysis instruction 630 including the analysis target information 631 and the analysis method information 632, and the analysis result 640 is obtained. Generate and output. Based on the analysis target information 631, the analysis unit 110 selects sample information 610 based on the analysis target information 621 from, for example, the privacy information 600 stored in the storage device 1072 illustrated in FIG. The analysis unit 110 may acquire the privacy information 600 designated by the operator via the input unit 1073 and select the sample information 610 from the privacy information 600. Further, the analysis unit 110 may acquire the sample information 610 specified by the operator via the input unit 1073 in the privacy information 600.
  • the analysis unit 110 may acquire the privacy information 600 from an external device (not shown) via the communication unit 1075, and may select the sample information 610 in the privacy information 600 based on the analysis target information 621. .
  • the analysis unit 110 requests an external device (not shown) via the communication unit 1075 to output the sample information 610 based on the analysis target information 621, and acquires the sample information 610 output from the external device. It may be.
  • the analysis target information 631 is an organization name (for example, “Company A”)
  • the analysis unit 110 includes, in the privacy information 600, the attribute name is “Organization name information” and the attribute value is “Company A”. Is selected or acquired as sample information 610.
  • the analysis unit 110 analyzes the selected or acquired sample information 610 based on the analysis method information 632, generates an analysis result 640, and outputs the analysis result 640.
  • the analysis method information 632 is information indicating that, for example, an attribute value of a specific attribute name (for example, “hobby information”) in the sample information 610 is selected and a list of the attribute values is generated.
  • the analysis method information 632 is, for example, “generate hobby information list”.
  • the analysis method information 632 may be information indicating that a specific function is fitted to specific attribute information in the sample information 610 and a parameter of the function is calculated.
  • the analysis method information 632 may be, for example, information indicating that fitting (applying) a specific function (hereinafter referred to as a model function) to the sample information 610 or fitting (also referred to as function fitting).
  • a model function a specific function
  • fitting also referred to as function fitting
  • the analysis result 640 is a model function (a fitting function described above) fitted using a fitting technique.
  • the analysis result 640 may be a parameter value of the fit function.
  • the fitting is to determine the parameters a and b of the formula 1 so that the model function as shown in the formula 1 best fits the distribution of the sample information 610, for example.
  • the fitting function is a model function to which a parameter as a result of fitting is applied. Since function fitting is a technique well known to those skilled in the art, detailed description thereof is omitted.
  • the analysis unit 110 executes an analysis process for fitting a model function to the sample information 610, generates a fit function as the analysis result 640, and outputs the fit function.
  • the model function may be any function other than the functions described above.
  • the above is the detailed description of the analysis unit 110.
  • the feedback information generation unit 120 will be described in detail. As described above, the feedback information generation unit 120 receives the disclosure request 620.
  • the feedback information generation unit 120 outputs the analysis instruction 630 generated based on the disclosure request 620 to the analysis unit 110. Further, the feedback information generation unit 120 determines anonymity based on the analysis result 640 received from the analysis unit 110, and generates and outputs a disclosure response 650 including the analysis result or feedback information 651 based on the determination result. Specifically, the feedback information generation unit 120 extracts information related to the analysis target from the disclosure target information 621 (for example, “30's person hobby information”) of the received disclosure request 620, and the analysis target information 631 (for example, “30's”) is generated.
  • the disclosure target information 621 for example, “30's person hobby information”
  • the analysis target information 631 for example, “30's”
  • the feedback information generation unit 120 combines analysis method information by combining disclosure target information 621 (for example, “30's person hobby information”) and disclosure format information 622 (for example, “list of attribute values”). 632 (for example, “generate hobby information list”) is generated.
  • the feedback information generation unit 120 outputs an analysis instruction 630 including the generated analysis target information 631 and analysis method information 632 to the analysis unit 110.
  • the feedback information generation unit 120 calculates anonymity (for example, l-diversity) of the analysis result 640 received from the analysis unit 110.
  • anonymity for example, l-diversity
  • the anonymity of the analysis result 640 is “2” because the attribute values are “sport” and “walk”.
  • the feedback information generation unit 120 when the calculated anonymity is less than a threshold value (for example, “3”), the feedback information generation unit 120 generates and outputs feedback information 651.
  • the feedback information 651 is information suggesting a change in the content of at least one of the disclosure target information 621 and the disclosure format information 622.
  • This information is information suggesting a change in the contents of the disclosure target information 621 and the disclosure format information 622 such that the anonymity of the analysis result 640 after the change is higher than the anonymity of the analysis result 640 before the change. It is. Therefore, the user can indicate how to obtain useful privacy information by checking the output feedback information.
  • the analysis result 640 after the change is generated by the anonymization device 100 based on the disclosure target information 621 and the disclosure format information 622 whose contents are changed, as suggested by the information indicated by the feedback information 651. It is.
  • the anonymization apparatus 100 changes the disclosure target information 621 (“personal information about people in their 30s”) to “personal information about people in their 30s and 40s” based on the feedback information 651.
  • a disclosure request 620 is received.
  • the feedback information generation unit 120 generates an analysis instruction 630 based on the disclosure request 620.
  • the feedback information generation unit 120 outputs the generated analysis instruction 630.
  • the analysis unit 110 generates an analysis result 640 as illustrated in FIG.
  • the feedback information generation unit 120 calculates “3” as anonymity (here, l-diversity) of the analysis result 640 illustrated in FIG. 9. Therefore, the feedback information 651 suggests a change in the disclosure target information 621 and the disclosure format information 622 so that the anonymity of the analysis result 640 generated by the analysis unit 110 satisfies the threshold (for example, the anonymity is equal to or greater than the threshold). Information.
  • the anonymization device 100 does not disclose the analysis result 640.
  • feedback information generation section 120 outputs disclosure response 650 including information indicating that disclosure is not possible to output section 1074 instead of analysis result 640. Further, the feedback information generation unit 120 may modify the contents of the analysis result 640 received from the analysis unit 110 and generate an inaccurate analysis result whose anonymity satisfies a threshold value. Further, the feedback information generation unit 120 may output a disclosure response 650 including the generated inaccurate analysis result to the output unit 1074. For example, the feedback information generation unit 120 changes one of the attribute values (for example, “sports”) of the analysis result 640 to dummy data (for example, “fishing”). The dummy data is, for example, randomly generated information that is not included in the privacy information 600 or information based on the privacy information 600 other than the sample information 610.
  • the dummy data is, for example, randomly generated information that is not included in the privacy information 600 or information based on the privacy information 600 other than the sample information 610.
  • the feedback information generation unit 120 may output a disclosure response 650 including the analysis result 640 in which the parameter value of the fit function is changed. Further, the feedback information generation unit 120 may instruct the analysis unit 110 to change the granularity of the sample data, and output the analysis result 640 received as a response thereto. In this case, the analysis unit 110 analyzes the sample information 610 based on an instruction from the feedback information generation unit 120. Further, when the anonymity of the analysis result 640 satisfies the threshold value, the anonymization device 100 outputs a disclosure response 650 including the analysis result 640. As described above, when the anonymity of the analysis result 640 does not satisfy the threshold value, the user cannot obtain the analysis result.
  • the analysis information received by the user is an analysis result that is less accurate than the original analysis result.
  • the anonymity of the analysis result 640 satisfies the threshold value, the user can obtain useful analysis information.
  • the feedback information 651 is information indicating what the user should do in order to obtain privacy information useful for the user (analysis result 640 of the privacy information 600).
  • the feedback information generation unit 120 generates analysis method information 632 based on the disclosure target information 621 and the disclosure format information 622 (S802).
  • the feedback information generation unit 120 outputs an analysis instruction 630 including the generated analysis target information 631 and analysis method information 632 to the analysis unit 110 (S803).
  • the analysis unit 110 selects sample information 610 based on the analysis target information 631 included in the received analysis instruction 630 (S804).
  • the analysis unit 110 analyzes the selected sample information 610 based on the analysis method information 632 included in the received analysis instruction 630, and generates an analysis result 640 (S805).
  • the analysis unit 110 outputs the generated analysis result 640 (S806).
  • the feedback information generation unit 120 calculates anonymity of the analysis result 640 received from the analysis unit 110 (S807).
  • the feedback information generation unit 120 determines whether or not the calculated anonymity is less than a threshold value (S808). When the value is equal to or greater than the threshold (for example, the anonymity is “2” and the threshold is “2”) (YES in S808), the feedback information generation unit 120 outputs a disclosure response 650 including the analysis result 640 (S809). Then, the process ends. When it is less than the threshold (for example, the anonymity is “2” and the threshold is “3”) (NO in S808), the feedback information generation unit 120 generates the feedback information 651 (S810).
  • the feedback information generation unit 120 Based on the disclosure target information 621, the feedback information generation unit 120 generates feedback information 651 including information suggesting that the disclosure target information 621 is changed so that the number of records of the sample information 610 increases. This is because as the number of records of the sample information 610 increases, the types of attribute values also increase, and it can be expected that l-anonymity increases.
  • the anonymization device 100 may generate the feedback information 651 as follows. First, the feedback information generation unit 120 generates analysis target information 631 and analysis method information 632 whose contents are changed based on a rule held in a means (not shown).
  • the rule held in the means not shown is, for example, “add the 10th place (for example,“ 3 ”) as an analysis target to the age (for example,“ 40's ”) increased by 1”. .
  • the anonymization apparatus 100 performs the same operation as the above-described S803 to S807, and calculates anonymity of the analysis result 640 based on the analysis target information 631 and the analysis method information 632 whose contents are changed.
  • the feedback information generation unit 120 generates feedback information 651 based on the plurality of anonymities calculated in this way.
  • the anonymization device 100 may repeat the above procedure until the calculated anonymity becomes larger than the threshold value.
  • the anonymization device 100 when the anonymization apparatus 100 simply adds “40s” to the analysis target and the calculated anonymity is lower than the threshold, the anonymization device 100 further adds “50s” and the calculated anonymity is equal to or greater than the threshold. To check. And the anonymization apparatus 100 will produce
  • the feedback information generation unit 120 may generate a plurality of feedback information 651.
  • the feedback information generation unit 120 changes the analysis target “40s” to feedback information 651 “changes to“ 20s and 30s ”” and feedback information 651 “changes to“ 30s and 40s ””. And may be generated.
  • the disclosure target information 621 indicates the range of the privacy information 600 to be analyzed by a plurality of conditions
  • the feedback information generation unit 120 may generate feedback information 651 corresponding to each condition. .
  • the disclosure target information 621 indicates “age is 30's and address is Tokyo” as the range of the privacy information 600 to be analyzed.
  • the feedback information generation unit 120 provides feedback information corresponding to each condition such as “change age conditions to 30s and 40s” and “change address conditions to Tokyo and Kanagawa”. 651 may be generated. Further, the feedback information generation unit 120 may output feedback information 651 including a plurality of suggestions. For example, the feedback information generation unit 120 may output the feedback information 651 “change the analysis target“ 40s ”to“ 20s and 30s ”or“ 30s and 40s ”).
  • the feedback information generation unit 120 may output feedback information 651 that “the age condition is changed to 30 to 45 years old and the address condition is changed to Tokyo and Kanagawa”.
  • the first effect of the present embodiment described above is that it is possible to indicate what the user should do to obtain useful privacy information. This is because the following configuration is included.
  • the analysis unit 110 analyzes the privacy information 600 based on an analysis instruction 630 that instructs to analyze the privacy information 600 and outputs an analysis result 640.
  • the feedback information generation unit 120 outputs an analysis instruction 630 to the analysis unit 110, and generates and outputs a disclosure response 650 including feedback information 651 based on the anonymity of the analysis result 640 received as a response. .
  • the second effect of the present embodiment described above is that the user can indicate information for determining a more appropriate analysis target.
  • the reason is that the feedback information generation unit 120 generates a plurality of feedback information 651, and the feedback information generation unit 120 generates and outputs feedback information 651 including a plurality of suggestions.
  • the configuration of this embodiment is the same as the configuration of the anonymization device 100 of the first embodiment shown in FIGS. 1 and 8. In the present embodiment, since the anonymity of the analysis result 640 shown in FIG.
  • the operation differs when the feedback information generation unit 120 outputs a disclosure response 650 including an inaccurate analysis result.
  • the feedback information generation unit 120 modifies the content of the analysis result 640 received from the analysis unit 110, and generates an inaccurate analysis result whose anonymity satisfies a threshold value.
  • the feedback information generation unit 120 outputs a disclosure response 650 including accuracy information.
  • the accuracy information is information indicating how accurate (or inaccurate) the inaccurate analysis result output as a response to the disclosure request 620 is. Specifically, the accuracy information indicates the accuracy of an inaccurate analysis result corresponding to the analysis result 640.
  • FIG. 11 is a diagram illustrating an example of the disclosure response 650. As shown in FIG. 11, the disclosure response 650 includes feedback information 651 and accuracy information 652.
  • the accuracy information 652 is information indicating the accuracy of an inaccurate analysis result that can be output by the anonymization device 100 and that corresponds to the analysis result 640 corresponding to a certain disclosure request 620.
  • the accuracy information 652 is a percentage in which a correct attribute value is included in an inaccurate analysis result (for example, “80%”).
  • the accuracy information 652 may be information expressed in a sentence such as “replace at least one attribute value”.
  • the accuracy information 652 may be a change rate of the granularity of the sample information 610.
  • the accuracy information 652 may be whether or not the parameter value of the fit function is changed.
  • the feedback information generation unit 120 may output accuracy information 652 such as “change of“ 80% ”to“ 100% ””, for example.
  • the accuracy information 652 includes the accuracy (80%) of the inaccurate analysis result and the accuracy (100%) of the analysis result 640 when the analysis target information 631 and the analysis method information 632 are changed based on the feedback information 651. ). That is, information related to a change in accuracy when the analysis target information 631 and the analysis method information 632 are changed based on the feedback information 651 is shown. For example, the feedback information 651 and the accuracy information 652 are when the disclosure target range is “30s”, the accuracy is “80%”, and the disclosure target range is “30s and 40s” The accuracy is “100%”.
  • the first effect of the present embodiment described above indicates to the user how accurate the inaccurate analysis result that can be acquired as a response to the disclosure request 620 is in addition to the effect of the first embodiment.
  • the reason is that the feedback information generation unit 120 outputs the disclosure response 650 including the accuracy information 652.
  • the second effect of the present embodiment described above is the change in accuracy when the analysis target information 631 and the analysis method information 632 are changed based on the feedback information 651 in addition to the effect of the first embodiment. It is possible to show to the user.
  • the reason is that the feedback information generation unit 120 includes an inaccurate analysis result and an accuracy of the analysis result 640 after changing the analysis target information 631 and the analysis method information 632 based on the feedback information 651. This is because 650 is output.
  • the configuration of this embodiment is the same as the configuration of the anonymization device 100 of the first embodiment shown in FIGS. 1 and 8.
  • This embodiment is an embodiment in a case where it is suggested to change the disclosure format in order to obtain privacy information useful for the user.
  • the disclosure target information 621 is “height in thirties”
  • the disclosure format information 622 is “attribute value distribution”.
  • the feedback information generation unit 120 receives the disclosure request 620 as described above.
  • the analysis target information 631 is “30's”
  • the analysis method information 632 is “fitting“ a * exp ( ⁇ b * x ⁇ 4) ”to the height distribution”.
  • “a * exp ( ⁇ b * x ⁇ 4)” is a model function, and represents the mathematical formula shown in Formula 2. The same applies to the following.
  • the feedback information generation unit 120 outputs the analysis instruction 630 as described above.
  • the analysis unit 110 receives the analysis instruction 630.
  • the analysis unit 110 refers to the privacy information 600 and selects the sample information 610 based on the analysis target information 631.
  • the analysis unit 110 fits the model function indicated by the analysis method information 632 to the selected sample information 610 to generate an analysis result 640.
  • the analysis unit 110 outputs an analysis result 640.
  • the feedback information generation unit 120 receives the analysis result 640.
  • the feedback information generation unit 120 generates a disclosure response 650 including feedback information 651 and accuracy information 652 based on the analysis result 640.
  • the feedback information 651 of the disclosure response 650 in this embodiment is, for example, “change“ a * exp ( ⁇ b * x ⁇ 4) ”to“ a * exp ( ⁇ b * x ⁇ 2) ””.
  • the accuracy information 652 is, for example, “change of“ parameter change large ”to“ parameter change small ””.
  • the anonymization device 100 of the present embodiment suggests a change in the disclosure format related to the disclosure format information 622 instead of changing the disclosure target information 621.
  • the disclosure format information 622 is not information directly indicating the analysis method information 632. Therefore, the feedback information generation unit 120 refers to the model function list stored in the storage unit 1071, for example, and generates the analysis method information 632 and the feedback information 651.
  • the list of model functions is, for example, ⁇ a * exp ( ⁇ b * x ⁇ 4), a * exp ( ⁇ b * x ⁇ 4),.
  • the feedback information generation unit 120 first instructs the analysis unit 110 to perform analysis using the latter equation, and receives the analysis result 640.
  • the feedback information generation unit 120 instructs the analysis unit 110 to perform analysis using the former formula, and receives the analysis result 640.
  • the feedback information generation unit 120 generates the feedback information 651 and the accuracy information 652 as described above based on these analysis results 640.
  • the user who has received the disclosure response 650 described above, for example, [f (x) a * exp ( ⁇ b * x ⁇ 2) of the feedback information 651 corresponding to the “small parameter change” of the accuracy information 652.
  • the feedback information generation unit 120 may output a disclosure response 650 that does not include the accuracy information 652.
  • FIG. 12 is a block diagram showing the configuration of the fourth embodiment. Referring to FIG.
  • the anonymization device 200 includes an analysis unit 110, a feedback information generation unit 120, and a sample record counting unit 130. including.
  • the components shown in FIG. 12 are not hardware-based components but functional-unit components.
  • the component of the hardware unit of the anonymization apparatus 200 which concerns on this embodiment is equivalent to the anonymization apparatus 100 shown in FIG.
  • the present embodiment differs from the first embodiment in the operation when the anonymity of the analysis result 640 does not satisfy the threshold value.
  • the sample record counting unit 130 counts the sample records based on the analysis target information 631 and outputs the result. For example, in the privacy information 600 shown in FIG. 2, when the analysis target information 631 is “30s and 40s”, the count result of the sample record is “10”.
  • the feedback information generation unit 120 changes the analysis target information 631 based on a rule held in a unit (not shown). For example, in the privacy information 600 illustrated in FIG. 2, when the analysis target information 631 is “30's”, l-anonymity is “2”. Here, when the threshold is “3”, the anonymity of the analysis result 640 does not satisfy the threshold because l-anonymity is less than the threshold. Therefore, for example, the feedback information generation unit 120 changes the analysis target information 631 from “30s” to “30s and 40s”. Next, the feedback information generation unit 120 outputs the changed analysis target information 631 to the sample record counting unit 130.
  • the feedback information generation unit 120 receives the count result (for example, “10”) of the sample record from the sample record counting unit 130.
  • the feedback information generation unit 120 generates feedback information 651 based on the analysis result 640 received from the analysis unit 110 and the count result of the sample records received from the sample record counting unit 130. That is, the feedback information generation unit 120 changes the disclosure target information 621 from “30s” to “30s and 40s” based on the increase in the number of sample records (for example, “5” to “10”). Feedback information 651 that suggests a change is generated.
  • the feedback information generation unit 120 outputs a disclosure response 650 including the generated feedback information 651.
  • the effect of the present embodiment described above is that the load for generating the feedback information 651 can be reduced in addition to the effect of the first embodiment.
  • the reason is that the sample record counting unit 130 counts the sample records, and the feedback information generating unit 120 generates the feedback information 651 based on the counting result.
  • Each component described in each of the above embodiments does not necessarily have to be individually independent.
  • a plurality of components may be realized as one module, or one component may be realized as a plurality of modules.
  • Each component is configured such that a component is a part of another component, or a part of a component overlaps a part of another component. Also good.
  • Each component in each of the embodiments described above and a module that realizes each component are realized by hardware, a computer and a program, or hardware, if necessary. You may implement
  • the program is provided by being recorded on a non-volatile computer-readable recording medium such as a magnetic disk or a semiconductor memory, and read by the computer when the computer is started up.
  • the read program causes the computer to function as a component in each of the above-described embodiments by controlling the operation of the computer.
  • a plurality of operations are described in order in the form of a flowchart, but the described order does not limit the order in which the plurality of operations are executed.
  • a plurality of operations are not limited to being executed at different timings. For example, another operation may occur during the execution of a certain operation, or the execution timing of a certain operation and another operation may partially or entirely overlap.
  • a certain operation is described as a trigger for another operation, but the description does not limit all relationships between the certain operation and the other operations. For this reason, when each embodiment is implemented, the relationship between the plurality of operations can be changed within a range that does not hinder the contents.
  • the specific description of each operation of each component does not limit each operation of each component.
  • the present invention can be applied to, for example, a statistical processing service based on privacy information.
  • Anonymization apparatus 100 Anonymization apparatus 110 Analysis part 120 Feedback information production

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • Accounting & Taxation (AREA)
  • Development Economics (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Game Theory and Decision Science (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • General Business, Economics & Management (AREA)
  • Marketing (AREA)
  • Economics (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

　本発明は、有用なプライバシ情報を得るために利用者がどうすればよいかを示すことができる匿名化 装置を提供する。その匿名化装置は、個人情報を含むプライバシ情報について、解析指示に基づいて、 そのプライバシ情報の解析結果を出力する解析手段と、開示の対象を示す開示対象情報と開示の形式を 示す開示形式情報とを含む開示要求に基づいて、その解析指示を生成し、解析手段に出力し、解析手段 から受け取った解析結果の匿名性に基づいて、開示要求について、匿名性を高くするための変更を示唆 するフィードバック情報を含む開示応答を生成し、出力するフィードバック情報生成手段と、を備える 。

Description

匿名化装置、匿名化方法、及びそのためのプログラムを記録した記録媒体
　本発明は、プライバシ情報の開示を制御する匿名化装置、匿名化方法、及びそのためのプログラムに関する。
　特定の情報を解析し、解析した結果を利用者に提供する様々な技術が知られている。また、その特定の情報がプライバシ情報である場合、利用者に情報を提供する情報提供システムは、そのプライバシ情報の匿名性を確保する処理（匿名化）を必要とする。一方、利用者に対してプライバシ情報を開示する場合、情報提供システムは、その匿名化されたプライバシ情報に対し、例えば利用者の要求に応じた統計的な解析処理を実施する。そして、情報提供システムは、この解析によって得た解析情報を利用者に開示する。この場合、その解析情報における、その基となるプライバシ情報の匿名性を所定の水準で確保することも必要である。
　情報提供システムの一例が特許文献１に記載されている。特許文献１に記載の情報提供システムは、利用者にとっての行政統計情報のカテゴリに対する重視度を考慮して統計対象の評価値を算出する。そして、その情報提供システムは、その算出した評価値を用いて利用者に適合する統計対象の情報を抽出し、提供する。
　しかしながら、特許文献１に記載の情報提供システムは、個人情報を含む統計情報（プライバシ情報に関連する情報）のプライバシ保護（匿名性）について、考慮していないという問題点を有している。
　上述のような問題点に対応するデータ開示装置の一例が、特許文献２に記載されている。特許文献２のデータ開示装置は、プライバシ情報を開示する場合、そのプライバシ情報の匿名性を計算する。次に、そのデータ開示装置は、計算した匿名性が所望の値に満たない場合に、開示するプライバシ情報の粒度をシステムに保持する規定のルールに基づいて変更し、所望の匿名性を確保したプライバシ情報を出力する。
特開２００８−１１７０１４号公報 特開２００７−２１９６３６号公報
　しかしながら、上述した技術文献２のデータ開示装置は、所望の匿名性を得るために、システムに保持する規定のルールに基づいて、開示するプライバシ情報の粒度を変更する。従って、そのデータ開示装置から出力されたプライバシ情報が利用者にとって有用でない場合が、考えられる。そのような場合、利用者は、有用なプライバシ情報を得るために、どのようにすればよいかを知ることができない。
　即ち、そのデータ開示装置は、有用なプライバシ情報を得るために、利用者がどうすればよいかを示すことができないという問題点を有する。
　本発明の目的の一例は、上述した問題点を解決できる匿名化装置、匿名化方法、及びそのためのプログラムを提供することにある。
　本発明の匿名化装置は、少なくとも１以上の個人毎の個人情報を含むプライバシ情報について、解析の対象とする前記個人情報を示す解析対象情報と解析の方法を示す解析方法情報とを含む解析指示に基づいて、前記プライバシ情報の解析結果を出力する解析手段と、前記プライバシ情報について、開示の対象を示す開示対象情報と開示の形式を示す開示形式情報とを含む開示要求に基づいて、前記解析指示を生成し、前記解析手段に出力し、前記解析手段から受け取った前記解析結果の匿名性に基づいて、前記開示対象情報及び前記開示形式情報の少なくとも一方について、前記匿名性を高くするための変更を示唆するフィードバック情報を含む開示応答を生成し、出力するフィードバック情報生成手段と、を含む。
　本発明の匿名化方法は、コンピュータが、少なくとも１以上の個人毎の個人情報を含むプライバシ情報について、解析の対象とする前記個人情報を示す解析対象情報と解析の方法を示す解析方法情報とを含む解析指示に基づいて、前記プライバシ情報の解析結果を出力し、前記プライバシ情報について、開示の対象を示す開示対象情報と開示の形式を示す開示形式情報とを含む開示要求に基づいて、前記解析指示を生成して出力し、前記解析結果の匿名性に基づいて、前記開示対象情報及び前記開示形式情報の少なくとも一方について、前記匿名性を高くするための変更を示唆するフィードバック情報を含む開示応答を生成し、出力する。
　本発明の不揮発性記憶媒体に記録されたプログラムは、コンピュータに、少なくとも１以上の個人毎の個人情報を含むプライバシ情報について、解析の対象とする前記個人情報を示す解析対象情報と解析の方法を示す解析方法情報とを含む解析指示に基づいて、前記プライバシ情報の解析結果を出力し、前記プライバシ情報について、開示の対象を示す開示対象情報と開示の形式を示す開示形式情報とを含む開示要求に基づいて、前記解析指示を生成して出力し、前記解析結果の匿名性に基づいて、前記開示対象情報及び前記開示形式情報の少なくとも一方について、前記匿名性を高くするための変更を示唆するフィードバック情報を含む開示応答を生成し、出力する処理を実行させる。
　本発明による効果は、有用なプライバシ情報を得るために利用者がどうすればよいかを示すことができることである。
図１は、第１の実施形態の構成を示すブロック図である。 図２は、第１の実施形態におけるプライバシ情報の一例を示す図である。 図３は、第１の実施形態におけるサンプル情報の一例を示す図である。 図４は、第１の実施形態における開示要求の一例を示す図である。 図５は、第１の実施形態における解析指示の一例を示す図である。 図６は、第１の実施形態における解析結果の一例を示す図である。 図７は、第１の実施形態における開示応答の一例を示す図である。 図８は、第１の実施形態のハードウェア構成を示すブロック図である。 図９は、第１の実施形態における解析結果の一例を示す図である。 図１０は、第１の実施形態における匿名化装置の動作を示すフローチャートである。 図１１は、第２の実施形態における開示応答の一例を示す図である。 図１２は、本発明の第２の実施形態の構成を示すブロック図である。 図１３は、プログラムを記録した不揮発性記憶媒体の例を示すブロック図である。
　次に、本発明の実施形態について図面を参照して詳細に説明する。
　［第１の実施形態］
　図１は、本発明の第１の実施形態の構成を示すブロック図である。
　図１を参照すると、本実施形態に係る匿名化装置１００は、解析部１１０、及びフィードバック情報生成部１２０を含む。
　まず、本実施形態に係る匿名化装置１００の概要を説明する。
　第１に、本実施形態に係る匿名化装置１００の解析部１１０は、プライバシ情報の解析を指示する解析指示に基づいて、プライバシ情報を解析し、解析結果を出力する。尚、解析指示は、少なくとも１以上の個人毎の個人情報を含むプライバシ情報について、解析の対象とする個人情報を示す解析対象情報とその解析の方法を示す解析方法情報とを含む。
　尚、解析部１１０は、プライバシ情報を解析する動作において、まず、プライバシ情報のうちの解析の対象とする個人情報を、解析指示に含まれる解析対象情報に基づいて選択する。以後、解析対象情報に基づいて選択された、プライバシ情報のうちの解析の対象とする個人情報をサンプル情報と呼ぶ。次に、解析部１１０は、サンプル情報を解析方法情報に基づいて解析する。解析部１１０は、その解析の解析結果をフィードバック情報生成部１２０に出力する。
　尚、解析結果は、例えば、属性値の一覧である。属性値の詳細は、後述する。また、解析結果は、フィッティングした関数のパラメータ（詳細は後述）であってもよい。尚、解析結果がフィッティングした関数のパラメータである場合については、後述の第３の実施形態において詳細に説明する。また、解析結果は、上記以外の任意のデータ解析手法による解析結果であってよい。
　第２に、匿名化装置１００のフィードバック情報生成部１２０は、開示要求を受け取る。例えば、フィードバック情報生成部１２０は、後述する図８に示す通信部１０７５を経由して、例えば外部装置（不図示）から、開示要求を受け取る。
　尚、開示要求は、プライバシ情報について、開示の対象を示す開示対象情報と開示の形式を示す開示形式情報とを含む。
　次に、フィードバック情報生成部１２０は、受け取った開示要求に基づいて、解析指示を発生し、その解析指示を解析部１１０に出力する。例えば、フィードバック情報生成部１２０は、開示対象情報に基づいて解析対象情報を生成し、開示対象情報及び開示形式情報に基づいて開示方法情報を生成して、解析指示を発生する。
　また、フィードバック情報生成部１２０は、解析部１１０から受け取った解析結果の匿名性を判定し、更に、その匿名性の判定結果に基づいて、フィードバック情報を含む開示応答を生成し、出力する。例えば、匿名性が所定の水準（閾値）より低い場合、フィードバック情報生成部１２０は、フィードバック情報を含む開示応答を、利用者が見えるようにディスプレイに出力してもよい。この場合、開示応答は、解析結果を含まない。また、フィードバック情報生成部１２０は、匿名性が所定の水準（閾値）より高い場合、開示応答としての解析結果を、ディスプレイに出力してもよい。
　ここで、解析結果の匿名性は、例えば、ｋ−匿名性（ｋ−ａｎｏｎｙｍｉｔｙ）である。また、解析結果の匿名性は、ｌ−多様性（ｌ−ｄｉｖｅｒｓｉｔｙ）であってもよい。また、解析結果の匿名性は、フィッティングした関数の情報量であってもよい。また、解析結果の匿名性は、上記以外の任意の匿名性指標であってよい。
　また、フィードバック情報は、開示対象情報及び開示形式情報の少なくとも一方についての変更を示唆する情報である。
　フィードバック情報生成部１２０は、フィードバック情報に基づいて、開示対象情報及び開示形式情報を変更し、解析部１１０に出力する機能を有していてもよい。この場合、フィードバック情報生成部１２０は、開示要求の変更後の解析結果６４０の匿名性が開示要求の変更前の解析結果６４０の匿名性に比べて高くなるよう、開示対象情報及び開示形式情報の少なくとも一方を変更することが好ましい。
　図２は、解析部１１０が受信するプライバシ情報６００の一例を示す図である。図２に示すように、プライバシ情報６００は、年齢情報６０１及び趣味情報６０２を属性情報として含むレコードから構成される。尚、属性情報は、属性名（例えば、「年齢情報」）と属性値（例えば、「３０」のような年齢情報６０１の値）を含む。尚、属性名は、属性情報の種別とも言う。尚、図２、図３、図６及び図９において、属性情報の属性名を図示しない。
　図３は、解析部１１０において、解析指示に含まれる解析対象情報に基づいて選択された、サンプル情報６１０の一例を示す図である。図３に示すように、サンプル情報６１０は、年齢情報６０１及び趣味情報６０２を属性情報として含むレコードから構成される。
　図４は、フィードバック情報生成部１２０が受信する開示要求６２０の一例を示す図である。図４に示すように、開示要求６２０は、開示対象情報６２１及び開示形式情報６２２を含む。
　開示対象情報６２１は、例えば、「年齢範囲が３０代の人の趣味情報」のような、解析の対象とするプライバシ情報６００の範囲（年齢範囲が３０代の人）、及び解析の対象とする属性情報の種別（趣味情報）を示す情報である。ここで、プライバシ情報６００の範囲は、例えば、組織名、年齢範囲、性別、地域、時間帯、その他任意の属性の内、任意のものの範囲を組み合わせた範囲であってよい。また、開示対象情報６２１が示す属性情報の種別は、任意の数の属性情報の種別であってよい。
　開示形式情報６２２は、プライバシ情報６００（サンプル情報６１０）の開示形式を示す情報である。開示形式情報６２２は、例えば、属性の一覧を作成して表示、ヒストグラムを作成して表示など、プライバシ情報６００の解析結果を、開示する形式を示す情報である。
　図５は、フィードバック情報生成部１２０が解析部１１０に出力する解析指示６３０の一例を示す図である。図５に示すように、解析指示６３０は、解析対象情報６３１（例えば、「３０代」）及び解析方法情報６３２（「例えば、「趣味情報の一覧を作成」）を含む。
　ここで、解析対象情報６３１は、解析部１１０で生成されるサンプル情報６１０（プライバシ情報６００の内の解析の対象とする情報）の範囲を示す情報である。解析対象情報６３１は、例えば、組織名、年齢範囲、性別、地域、時間帯、その他任意の属性の内、任意ものの範囲が組み合わされた情報である。
　例えば、解析対象情報６３１が組織名（例えば、「Ａ社」）である場合、サンプル情報６１０は、プライバシ情報６００の内、属性名が「組織名情報」であって属性値が「Ａ社」である属性情報を含むレコードで構成される。
　また、解析方法情報６３２は、サンプル情報６１０を解析する方法と、生成する解析結果の形式とを示す情報である。
　例えば、解析方法情報６３２は、サンプル情報６１０の内の特定の属性名（例えば、「趣味情報」）の属性値について、一覧表を生成することを示す情報である。この場合、解析方法情報６３２は、例えば、「趣味情報の一覧を生成」である。
　図６は、解析部１１０が出力する解析結果６４０の一例を示す図である。図６に示すように解析結果６４０は、例えば、趣味情報の一覧表である。
　図７は、フィードバック情報生成部１２０で生成される開示応答６５０の一例を示す図である。図７に示すように開示応答６５０は、フィードバック情報６５１を含む。
　前述したように、フィードバック情報６５１は、少なくとも開示対象情報６２１又は開示形式情報６２２の一方について、その内容の変更を示唆する情報である。従って、フィードバック情報６５１は、開示対象情報６２１及び開示形式情報６２２の両方について、それらの内容の変更を示唆する情報であってもよい。フィードバック情報６５１は、例えば、開示対象情報６２１である年齢範囲を広げる（例えば、「３０代」を「３０代及び４０代」に変更）ことを示唆する情報である。フィードバック情報６５１は、例えば、フィッティングのイテレーション回数（反復回数）の変更を示唆する情報であってもよい。
　以上が、匿名化装置１００の概要の説明である。
　次に、匿名化装置１００のハードウェア単位の構成要素について説明する。
　図８は、本実施形態における匿名化装置１００とその周辺装置のハードウェア構成を示す図である。図８に示されるように、匿名化装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）１０７０、記憶部１０７１、記憶装置１０７２、入力部１０７３、出力部１０７４及び通信部１０７５を含む。
　ＣＰＵ１０７０は、オペレーティングシステム（不図示）を動作させて、本実施形態に係る匿名化装置１００の、全体の動作を制御する。また、ＣＰＵ１０７０は、例えば記憶装置１０７２に装着された不揮発性の記録媒体（不図示）から、記憶部１０７１にプログラムやデータを読み込む。そして、ＣＰＵ１０７０は、読み込んだプログラムに従って、また読み込んだデータに基づいて、図１に示す解析部１１０及びフィードバック情報生成部１２０として各種の処理を実行する。
　尚、ＣＰＵ１０７０は、通信網（不図示）に接続されている外部コンピュータ（不図示）から、記憶部１０７１にプログラム及びデータの内の任意のものをダウンロードするようにしてもよい。
　記憶部１０７１は、プログラム及びデータの内の任意のものを記憶する。記憶部１０７１は、図３に示すようなサンプル情報６１０を記憶してもよい。
　記憶装置１０７２は、例えば、光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク及び半導体メモリであって、不揮発性の記憶媒体を含む。記憶装置１０７２は、プログラムをコンピュータ読み取り可能に記録する。また、記憶装置１０７２は、データをコンピュータ読み取り可能に記録してもよい。記憶装置１０７２は、サンプル情報６１０を記憶してもよい。
　入力部１０７３は、例えばマウスやキーボード、内蔵のキーボタンなどで実現され、入力操作に用いられる。入力部１０７３は、マウスやキーボード、内蔵のキーボタンに限らず、例えばタッチパネル、加速度計、ジャイロセンサ、カメラなどでもよい。入力部１０７３は、例えば、開示要求６２０を入力するために用いられる。入力部１０７３は、プライバシ情報６００を入力しても良い。
　出力部１０７４は、例えばディスプレイで実現され、例えば開示応答６５０を確認するために用いられる。
　通信部１０７５は、外部装置（不図示）と通信を行う。匿名化装置１００は、例えば外部装置が保持する、サンプル情報６１０を、通信部１０７５を経由して、取得するようにしてもよい。また、匿名化装置１００は、通信部１０７５を経由して、外部装置から開示要求６２０を受けてもよい。また、匿名化装置１００は、通信部１０７５を経由して、開示応答６５０を外部装置に出力してもよい。通信部１０７５は、解析部１１０及びフィードバック情報生成部１２０に含まれてよい。
　以上が、匿名化装置１００のハードウェア単位の各構成要素についての説明である。
　以上説明したように、図１に示す機能単位のブロックは、図３に示すハードウェア構成によって実現される。但し、匿名化装置１００が備える各部の実現手段は、上記に限定されない。すなわち、匿名化装置１００は、物理的に結合した一つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線又は無線で接続し、これら複数の装置により実現されてもよい。
　図１３は、プログラムを記録（記憶）する、記録媒体（記憶媒体）１０７７の例を示す図である。記録媒体１０７７は、情報を非一時的に記憶する不揮発性記録媒体である。尚、記録媒体１０７７は、情報を一時的に記憶する記録媒体であってもよい。記録媒体１０７７は、図１０に示す動作を匿名化装置１００（ＣＰＵ１０７０）に実行させるプログラム（ソフトウェア）のコードを記録する。尚、記録媒体１０７７は、更に、任意のプログラムやデータを記録してよい。
　また、前述のプログラム（ソフトウェア）のコードを記録した記録媒体１０７７が匿名化装置１００に供給され、匿名化装置１００（ＣＰＵ１０７０）は、記録媒体に格納されたプログラムのコードを読み込み、実行してもよい。或いは、ＣＰＵ１０７０は、記録媒体１０７７に格納されたプログラムのコードを、記憶部１０７１に格納するようにしてもよい。すなわち、本実施形態は、匿名化装置１００（ＣＰＵ１０７０）が実行するプログラムを、一時的に又は非一時的に、記憶する記録媒体の実施形態を含む。
　次に、解析部１１０について、更に詳細に説明する。上述したように、解析部１１０は、解析対象情報６３１と解析方法情報６３２とを含む解析指示６３０に基づいて、サンプル情報６１０（プライバシ情報６００から選択された情報）を解析し、解析結果６４０を生成し、出力する。
　解析部１１０は、解析対象情報６３１に基づいて、例えば、図８に示す記憶装置１０７２に記憶されているプライバシ情報６００から、解析対象情報６２１に基づいてサンプル情報６１０を選択する。尚、解析部１１０は、入力部１０７３を介して操作者が指定したプライバシ情報６００を取得し、そのプライバシ情報６００からサンプル情報６１０を選択するようにしてもよい。また、解析部１１０は、プライバシ情報６００の内、入力部１０７３を介して操作者が指定したサンプル情報６１０を取得するようにしてもよい。また、解析部１１０は、通信部１０７５を介して図示しない外部装置からプライバシ情報６００を取得し、そのプライバシ情報６００の内のサンプル情報６１０を解析対象情報６２１に基づいて選択するようにしてもよい。また、解析部１１０は、通信部１０７５を介して図示しない外部装置に対し、解析対象情報６２１に基づいてサンプル情報６１０の出力を要求し、その外部装置から出力されるサンプル情報６１０を取得するようにしてもよい。
　例えば、解析対象情報６３１が組織名（例えば、「Ａ社」）である場合、解析部１１０は、プライバシ情報６００の内、属性名が「組織名情報」であって属性値が「Ａ社」である属性情報を含むレコードを、サンプル情報６１０として選択或いは取得する。
　また、解析部１１０は、選択或いは取得したサンプル情報６１０を、解析方法情報６３２に基づいて解析し、解析結果６４０を生成し、出力する。
　解析方法情報６３２は、例えば、サンプル情報６１０の内の特定の属性名（例えば、「趣味情報」）の属性値を選択し、その属性値の一覧を生成することを示す情報である。解析方法情報６３２は、例えば、「趣味情報の一覧を生成」である。また、解析方法情報６３２は、サンプル情報６１０の内の特定の属性情報に特定の関数をフィッティングし、その関数のパラメータを算出することを示す情報であってもよい。
　解析方法情報６３２は、例えば、サンプル情報６１０に特定の関数（以後、モデル関数と呼ぶ）をフィットさせる（当てはめる）、フィッティング（関数フィッティングとも呼ばれる）であることを示す情報であってもよい。例えば、解析方法情報６３２は、モデル関数をフィットさせることを示す「ｙ＝ａｘ＋ｂをフィッティング」である。
　この場合、解析結果６４０は、フィッティングの手法を用いて、フィットされたモデル関数（前述のフィット関数）である。尚、解析結果６４０は、フィット関数のパラメータの値であってもよい。
　具体的には、フィティングは、例えば式１に示すようなモデル関数をサンプル情報６１０の分布に最もよく合うように、式１のパラメータａ、ｂを決定することである。即ち、フィット関数は、フィッティングの結果のパラメータを適用されたモデル関数である。尚、関数のフィティングは、当業者にとってよく知られた技術であるため、詳細な説明は省略する。
Figure JPOXMLDOC01-appb-M000001
 　解析部１１０は、例えば、サンプル情報６１０に、モデル関数をフィッティングさせる解析処理を実行し、解析結果６４０としてフィット関数を生成し、出力する。
　例えば、平均を求めるようなモデルの場合、モデル関数ｙは、ｙ＝ａである。また、モデルが回帰直線ならば、モデル関数ｆ（ｘ）は、ｆ（ｘ）＝ａｘ＋ｂである。また、モデルが正規分布ならば、モデル関数は、その正規分布の確率密度関数である。尚、モデル関数は、上述の関数以外の任意の関数であってよい。
　具体的には、解析結果６４０は、モデル関数が回帰直線を示すｆ（ｘ）＝ａｘ＋ｂ（ｘは属性情報の順番の値）である場合、以下の通りである。即ち、解析結果６４０は、例えば、モデル関数のパラメータであるａ及びｂそれぞれを「１．２８」及び「１５９．１３」とする、ｆ（ｘ）＝１．２８ｘ＋１５９．１３である。
　以上が、解析部１１０の詳細な説明である。
　次に、フィードバック情報生成部１２０について、詳細に説明する。上述したように、フィードバック情報生成部１２０は、開示要求６２０を受け取る。その次に、フィードバック情報生成部１２０は、その開示要求６２０に基づいて生成した解析指示６３０を解析部１１０に出力する。また、フィードバック情報生成部１２０は、解析部１１０から受け取った解析結果６４０に基づいて匿名性を判定し、判定結果に基づいて解析結果またはフィードバック情報６５１を含む開示応答６５０を生成し、出力する。
　具体的に説明すると、フィードバック情報生成部１２０は、受け取った開示要求６２０の開示対象情報６２１（例えば、「３０代の人の趣味情報」）から解析対象に関連する情報を抽出し、解析対象情報６３１（例えば、「３０代」）を生成する。
　同様に、フィードバック情報生成部１２０は、開示対象情報６２１（例えば、「３０代の人の趣味情報」）及び開示形式情報６２２（例えば、「属性値の一覧」）を組み合わせることによって、解析方法情報６３２（例えば、「趣味情報の一覧を生成」）を生成する。
　次に、フィードバック情報生成部１２０は、生成した解析対象情報６３１及び解析方法情報６３２を含む解析指示６３０を解析部１１０に出力する。
　また、フィードバック情報生成部１２０は、解析部１１０から受け取った解析結果６４０の匿名性（例えば、ｌ−多様性）を算出する。ここでｌ−多様性を匿名性とした場合、例えば、図６に示すように解析結果６４０の匿名性は、属性値が「スポーツ」と「散歩」であるため、「２」である。
　次に、フィードバック情報生成部１２０は、算出した匿名性が閾値（例えば、「３」）未満である場合、フィードバック情報６５１を生成し、出力する。
　フィードバック情報６５１は、上述したように、開示対象情報６２１及び開示形式情報６２２の少なくとも一方について、その内容の変更を示唆する情報である。この情報は、その変更後の解析結果６４０の匿名性がその変更前の解析結果６４０の匿名性に比べて高くなるような、開示対象情報６２１及び開示形式情報６２２の内容の変更を示唆する情報である。従って、利用者は、出力されたフィードバック情報を確認することによって、有用なプライバシ情報を得るためにどうすればよいかを示すことが可能になる。
　尚、変更後の解析結果６４０は、フィードバック情報６５１が示す情報で示唆されるように、内容を変更した開示対象情報６２１及び開示形式情報６２２に基づいて、匿名化装置１００が生成する解析結果６４０である。例えば、匿名化装置１００は、フィードバック情報６５１に基づいて開示対象情報６２１（「３０代の人の趣味情報」）を「３０代及び４０代の人の趣味情報」に変更した、開示対象情報６２１を含む開示要求６２０を受け取る。この場合、フィードバック情報生成部１２０は、この開示要求６２０に基づいて解析指示６３０を生成する。その次に、フィードバック情報生成部１２０は、その生成した解析指示６３０を出力する。
　次に、解析部１１０は、この解析指示６３０に基づいて、図９に示すような解析結果６４０を生成し、フィードバック情報生成部１２０に出力する。この場合、図９に示すように、解析結果６４０の属性値は、「スポーツ」、「散歩」及び「読書」である。従って、フィードバック情報生成部１２０は、図９に示す解析結果６４０の匿名性（ここでは、ｌ−多様性）として「３」を算出する。
　従って、フィードバック情報６５１は、解析部１１０が生成する解析結果６４０の匿名性が閾値を満足（例えば、匿名性が閾値以上）するように、開示対象情報６２１及び開示形式情報６２２の変更を示唆する情報である。
　匿名化装置１００は、解析結果６４０の匿名性が閾値を満足していない場合、その解析結果６４０を開示しない。具体的には、フィードバック情報生成部１２０は、その解析結果６４０に替えて、開示不可を示す情報を含む開示応答６５０を出力部１０７４に出力する。
　また、フィードバック情報生成部１２０は、解析部１１０から受け取った解析結果６４０の内容を改変し、その匿名性が閾値を満足する不正確な解析結果を生成してもよい。更に、フィードバック情報生成部１２０は、生成した不正確な解析結果を含む開示応答６５０を出力部１０７４に出力してもよい。
　例えば、フィードバック情報生成部１２０は、解析結果６４０の属性値（例えば「スポーツ」）の１つを、ダミーデータ（例えば「つり」）に変更する。ダミーデータは、例えば、プライバシ情報６００に含まれていないランダムに生成された情報、或いはサンプル情報６１０以外のプライバシ情報６００に基づいた情報である。
　また、フィードバック情報生成部１２０は、解析結果６４０がフィット関数である場合、フィット関数のパラメータの値を変更した解析結果６４０を含む開示応答６５０を出力するようにしてもよい。
　また、フィードバック情報生成部１２０は、サンプルデータの粒度を変更して解析するように解析部１１０に指示し、その応答として受け取った解析結果６４０を出力するようにしてもよい。尚、この場合、解析部１１０は、フィードバック情報生成部１２０の指示に基づいて、サンプル情報６１０の解析を実行する。
　また、匿名化装置１００は、解析結果６４０の匿名性が閾値を満足している場合、その解析結果６４０を含む開示応答６５０を出力する。
　上述のように、解析結果６４０の匿名性が閾値を満足していない場合、利用者は、解析結果を得ることができない。或いは、解析結果６４０の匿名性が閾値を満足していない場合、利用者が受け取る解析情報は、本来の解析結果より正確性が劣る解析結果である。一方、解析結果６４０の匿名性が閾値を満足している場合、利用者は、有用な解析情報を得ることができる。
　以上説明したように、フィードバック情報６５１は、自身にとって有用なプライバシ情報（プライバシ情報６００の解析結果６４０）を得るために、利用者はどうすればよいかを示す情報である。
　次に本実施形態の動作について、図１~図１０を参照して詳細に説明する。
　図１０は、本実施形態の動作を示すフローチャートである。
　匿名化装置１００は、開示要求６２０を受け取ったことを契機に動作を開始する。
　まず、フィードバック情報生成部１２０は、開示対象情報６２１に基づいて、解析対象情報６３１を生成する（Ｓ８０１）。
　次に、フィードバック情報生成部１２０は、開示対象情報６２１及び開示形式情報６２２に基づいて、解析方法情報６３２を生成する（Ｓ８０２）。
　次に、フィードバック情報生成部１２０は、生成した解析対象情報６３１及び解析方法情報６３２を含む解析指示６３０を解析部１１０に出力する（Ｓ８０３）。
　次に、解析部１１０は、受け取った解析指示６３０に含まれる解析対象情報６３１に基づいて、サンプル情報６１０を選択する（Ｓ８０４）。
　次に、解析部１１０は、選択したサンプル情報６１０を、受け取った解析指示６３０に含まれる解析方法情報６３２に基づいて解析し、解析結果６４０を生成する（Ｓ８０５）。
　次に、解析部１１０は、生成した解析結果６４０を出力する（Ｓ８０６）。
　次に、フィードバック情報生成部１２０は、解析部１１０から受け取った解析結果６４０の匿名性を算出する（Ｓ８０７）。
　次に、フィードバック情報生成部１２０は、算出した匿名性が閾値未満か否かを判定する（Ｓ８０８）。
　閾値以上（例えば、匿名性が「２」、閾値が「２」）の場合（Ｓ８０８でＹＥＳ）、フィードバック情報生成部１２０は、解析結果６４０を含む開示応答６５０を出力する（Ｓ８０９）。そして、処理は終了する。
　閾値未満（例えば、匿名性が「２」、閾値が「３」）の場合（Ｓ８０８でＮＯ）、フィードバック情報生成部１２０は、フィードバック情報６５１を生成する（Ｓ８１０）。
　例えば、フィードバック情報生成部１２０は、開示対象情報６２１に基づいて、サンプル情報６１０のレコード数が増加するように開示対象情報６２１を変更することを示唆する情報を含むフィードバック情報６５１を生成する。これは、サンプル情報６１０のレコード数が増加すると、属性値の種類も増加する方向であり、ｌ−匿名性が大きくなることが期待できるからである。
　尚、匿名化装置１００は、以下のようにしてフィードバック情報６５１を生成してもよい。まず、フィードバック情報生成部１２０は、図示しない手段に保持されている規則に基づいて内容を変更した、解析対象情報６３１及び解析方法情報６３２を生成する。
　図示しない手段に保持されている規則は、例えば、「解析対象として、１０の位（例えば、「３」）を、１増加した範囲の年齢（例えば、「４０代」）を追加する」である。
　次に、匿名化装置１００は、上述のＳ８０３~Ｓ８０７と同様の動作を実行し、内容を変更した解析対象情報６３１及び解析方法情報６３２に基づく解析結果６４０の匿名性を算出する。フィードバック情報生成部１２０は、このようにして算出した複数の匿名性に基づいて、フィードバック情報６５１を生成する。
　このとき、匿名化装置１００は、算出した匿名性が閾値よりも大きくなるまで、上記の手順を繰り返してもよい。匿名化装置１００は、例えば、「４０代」を解析対象に加えただけでは、算出した匿名性が閾値よりも低い場合、「５０代」を更に加えて、算出した匿名性が閾値以上であるかを確認する。そして、匿名化装置１００は、算出した匿名性が閾値以上であれば、フィードバック情報６５１を生成し、出力する。「５０代」を加えて算出した匿名性が閾値よりも低い場合、匿名化装置１００は、「６０代」を追加、「７０代」を追加…のように、匿名性を満たすまで続ける。全部の年齢を追加しても匿名性を満たさない場合、匿名化装置１００は、エラーを出力するようにしてもよい。
　次に、フィードバック情報生成部１２０は、生成したフィードバック情報６５１を含む開示応答６５０を出力する（Ｓ８１１）。そして、処理は終了する。
　尚、前述の説明において、フィードバック情報生成部１２０がフィードバック情報６５１を１つ生成する場合の、例を説明した。しかし、フィードバック情報生成部１２０は、複数のフィードバック情報６５１を生成してもよい。例えば、フィードバック情報生成部１２０は、「４０代」という解析対象を、「「２０代と３０代」に変更」というフィードバック情報６５１と、「「３０代と４０代」に変更」というフィードバック情報６５１とを生成してもよい。
　また、開示対象情報６２１が、解析の対象とするプライバシ情報６００の範囲を複数の条件によって示している場合、フィードバック情報生成部１２０は、それぞれの条件に対応するフィードバック情報６５１を生成してもよい。例えば、開示対象情報６２１が、解析の対象とするプライバシ情報６００の範囲として、「年齢が３０代、及び住所が東京」を示しているとする。この場合、フィードバック情報生成部１２０は、「年齢の条件を３０代と４０代に変更する」及び「住所の条件を東京と神奈川」に変更する」というような、それぞれの条件に対応するフィードバック情報６５１を生成してもよい。
　また、フィードバック情報生成部１２０は、複数の示唆を含むフィードバック情報６５１を出力してもよい。例えば、フィードバック情報生成部１２０は、「４０代」という解析対象を、「「２０代及び３０代」もしくは「３０代及び４０代」に変更」というフィードバック情報６５１を出力してもよい。また、フィードバック情報生成部１２０は、「年齢の条件を３０歳~４５歳に変更する、かつ住所の条件を東京と神奈川に変更する」というフィードバック情報６５１を出力してもよい。
　上述した本実施形態における第１の効果は、有用なプライバシ情報を得るために利用者がどうすればよいかを、示すことが可能になる点である。
　その理由は、以下のような構成を含むからである。第１に、解析部１１０は、プライバシ情報６００の解析を指示する解析指示６３０に基づいて、プライバシ情報６００を解析し、解析結果６４０を出力する。第２に、フィードバック情報生成部１２０は、解析指示６３０を解析部１１０に出力し、応答として受け取った解析結果６４０の匿名性に基づいて、フィードバック情報６５１を含む開示応答６５０を生成し、出力する。
　上述した本実施形態における第２の効果は、利用者がより適切な解析対象を決定するための情報を、示すことが可能になる点である。
　その理由は、フィードバック情報生成部１２０が複数のフィードバック情報６５１を生成し、及びフィードバック情報生成部１２０が複数の示唆を含むフィードバック情報６５１を生成し、出力するようにしたからである。
　［第２の実施の形態］
　次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
　本実施形態の構成は、図１及び図８に示す第１の実施形態の匿名化装置１００の構成と同しである。
　本実施形態は、図６に示す解析結果６４０の匿名性が閾値を満足しないため、フィードバック情報生成部１２０が、不正確な解析結果を含む開示応答６５０を出力する場合の、動作が異なる。尚、フィードバック情報生成部１２０は、解析部１１０から受け取った解析結果６４０の内容を改変し、その匿名性が閾値を満足する不正確な解析結果を生成する。
　本実施形態において、フィードバック情報生成部１２０は、正確性情報を含む開示応答６５０を出力する。正確性情報は、開示要求６２０の応答として出力する不正確な解析結果が、どの程度正確（或いは、不正確）であるかを示す情報である。具体的には、正確性情報は、解析結果６４０に対応する不正確な解析結果の、正確性を示す。
　図１１は、開示応答６５０の一例を示す図である。図１１に示すように、開示応答６５０は、フィードバック情報６５１と正確性情報６５２とを含む。
　正確性情報６５２は、ある開示要求６２０に対応する解析結果６４０に対応する、匿名化装置１００が出力可能な不正確な解析結果の正確性を示す情報である。例えば、正確性情報６５２は、不正確な解析結果に正しい属性値が含まれている割り合いである（例えば、「８０％」）。
　また、正確性情報６５２は、例えば「属性値を少なくとも１つ入れ替え」のように文章で表現された情報であってもよい。また、正確性情報６５２は、サンプル情報６１０の粒度の変更率であってもよい。また、正確性情報６５２は、フィット関数のパラメータの値の変更の有無であってもよい。
　また、フィードバック情報生成部１２０は、例えば、「「８０％」が「１００％」に変化」のような正確性情報６５２を出力してもよい。この正確性情報６５２は、不正確な解析結果の正確性（８０％）と、フィードバック情報６５１に基づいて解析対象情報６３１及び解析方法情報６３２を変更した場合の解析結果６４０の正確性（１００％）とを含む。即ち、フィードバック情報６５１に基づいて解析対象情報６３１及び解析方法情報６３２を変更した場合の、正確性の変化に関連する情報を示している。例えば、フィードバック情報６５１とこの正確性情報６５２とは、開示対象の範囲が「３０代」の場合に正確性は「８０％」であり、開示対象の範囲が「３０代及び４０代」の場合に正確性は「１００％」であることを示す。
　上述した本実施形態における第１の効果は、第１の実施形態の効果に加えて、開示要求６２０の応答として取得できる不正確な解析結果が、どの程度正確であるかを、利用者に示すことが可能になる点である。
　その理由は、フィードバック情報生成部１２０が、正確性情報６５２を含む開示応答６５０を出力するようにしたからである。
　上述した本実施形態における第２の効果は、第１の実施形態の効果に加えて、フィードバック情報６５１に基づいて解析対象情報６３１及び解析方法情報６３２を変更した場合の、正確性の変化を、利用者に示すことが可能になる点である。
　その理由は、フィードバック情報生成部１２０が、不正確な解析結果と、フィードバック情報６５１に基づいて解析対象情報６３１及び解析方法情報６３２を変更した後の解析結果６４０の正確性と、を含む開示応答６５０を出力するようにしたからである。
　［第３の実施の形態］
　次に、本発明の第３の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
　本実施形態の構成は、図１及び図８に示す第１の実施形態の匿名化装置１００の構成と同じである。
　本実施形態は、利用者に対し、利用者にとって有用なプライバシ情報を得るために、開示形式を変更することを示唆する場合の実施形態である。
　本実施形態における開示要求６２０は、例えば、開示対象情報６２１が「３０代の身長」、開示形式情報６２２が「属性値の分布」である。
　フィードバック情報生成部１２０は、上述のような開示要求６２０を受け取る。
　本実施形態における解析指示６３０は、例えば、解析対象情報６３１が「３０代」、解析方法情報６３２が「身長の分布に「ａ＊ｅｘｐ（−ｂ＊ｘ＾４）」をフィッティング」である。ここで、「ａ＊ｅｘｐ（−ｂ＊ｘ＾４）」は、モデル関数であり、式２に示す数式を示す。以下の同様である。
Figure JPOXMLDOC01-appb-M000002
 　次に、フィードバック情報生成部１２０は、上述のような解析指示６３０を出力する。
　次に、解析部１１０は、その解析指示６３０を受け取る。
　次に、解析部１１０は、プライバシ情報６００を参照して、解析対象情報６３１に基づいてサンプル情報６１０を選択する。
　次に、解析部１１０は、選択したサンプル情報６１０に解析方法情報６３２で示されるモデル関数をフィッティングし、解析結果６４０を生成する。
　本実施形態における解析結果６４０は、例えば、フィット関数のパラメータ（例えば、ａ＝２．５、ｂ＝３．２）である。
　次に、解析部１１０は、解析結果６４０を出力する。
　次に、フィードバック情報生成部１２０は、その解析結果６４０を受け取る。
　次に、フィードバック情報生成部１２０は、その解析結果６４０に基づいて、フィードバック情報６５１及び正確性情報６５２を含む開示応答６５０を生成する。
　本実施形態における開示応答６５０のフィードバック情報６５１は、例えば、「「ａ＊ｅｘｐ（−ｂ＊ｘ＾４）」を「ａ＊ｅｘｐ（−ｂ＊ｘ＾２）」に変更」である。また、正確性情報６５２は、例えば、「「パラメータの変更大」が「パラメータの変更小」に変化」である。
　上述のように、本実施形態の匿名化装置１００は、開示対象情報６２１を変更する代わりに、開示形式情報６２２に関連する開示形式の変更を示唆する。尚、本実施形態においては、開示形式情報６２２は、解析方法情報６３２を直接示す情報ではない。
　従って、フィードバック情報生成部１２０は、例えば、記憶部１０７１に保持されている、モデル関数のリストを参照し、解析方法情報６３２及びフィードバック情報６５１を生成する。ここで、モデル関数のリストは、例えば、｛ａ＊ｅｘｐ（−ｂ＊ｘ＾４），ａ＊ｅｘｐ（−ｂ＊ｘ＾４），・・・｝である。
　例えば、「ｆ（ｘ）＝ａ＊ｅｘｐ（−ｂ＊ｘ＾２）」と「ｆ（ｘ）＝ａ＊ｅｘｐ（−ｂ＊ｘ＾４）」とを比較すると、「ｘ」の増加に伴って、後者の「ｆ（ｘ）」の値は、前者の「ｆ（ｘ）」の値に比べて急激に小さくなる。従って、後者の「ｆ（ｘ）＝ａ＊ｅｘｐ（−ｂ＊ｘ＾４）」で表される分布は、幅が狭く、匿名性は低くなる。
　そこで、フィードバック情報生成部１２０は、例えば、まず後者の式で解析部１１０に解析を指示し、解析結果６４０を受け取る。次に、フィードバック情報生成部１２０は、その解析結果６４０の匿名性が閾値より低い場合には、更に前者の式で解析部１１０に解析を指示し、解析結果６４０を受け取る。
　次に、フィードバック情報生成部１２０は、これらの解析結果６４０に基づいて、上述のようなフィードバック情報６５１及び正確性情報６５２を生成する。
　上述の開示応答６５０を受け取った利用者は、例えば、正確性情報６５２の「パラメータの変更小」に対応する、フィードバック情報６５１の［ｆ（ｘ）＝ａ＊ｅｘｐ（−ｂ＊ｘ＾２）」を、次の開示要求６２０の開示形式情報６２２とすることができる。
　尚、フィードバック情報生成部１２０は、正確性情報６５２を含まない開示応答６５０を出力するようにしてもよい。
　上述した本実施形態における効果は、第１の実施形態の効果に加えて、開示形式の変更による正確性の変化を、利用者に示すことが可能になる点である。
　その理由は、解析部１１０がサンプル情報６１０にモデル関数をフィッティングして解析結果６４０を生成し、フィードバック情報生成部１２０が開示形式を含むフィードバック情報６５１を生成するようにしたからである。
　［第４の実施の形態］
　次に、本発明の第４の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
　図１２は、第４の実施形態の構成を示すブロック図である。
　図１２を参照すると、本実施形態に係る匿名化装置２００は、解析部１１０、フィードバック情報生成部１２０及びサンプルレコード計数部１３０を含む。を含む。尚、図１２に示す構成要素は、ハードウェア単位の構成要素ではなく、機能単位の構成要素を示している。
　本実施形態に係る匿名化装置２００のハードウェア単位の構成要素は図８に示す匿名化装置１００と同等である。
　本実施形態は、第１の実施形態に比べて、解析結果６４０の匿名性が閾値を満足しない場合の動作が異なる。
　サンプルレコード計数部１３０は、解析対象情報６３１に基づいて、サンプルレコードを計数し、その結果を出力する。例えば、図２に示すプライバシ情報６００において、解析対象情報６３１が「３０代及び４０代」の場合、サンプルレコードの計数結果は、「１０」である。
　フィードバック情報生成部１２０は、解析結果６４０の匿名性が閾値を満足しない場合、図示しない手段に保持されている規則に基づいて解析対象情報６３１を変更する。例えば、図２に示すプライバシ情報６００において、解析対象情報６３１が「３０代」の場合、ｌ−匿名性は「２」である。ここで、閾値が「３」である場合、ｌ−匿名性が閾値未満であるため、解析結果６４０の匿名性は閾値を満足しない。そこで、例えば、フィードバック情報生成部１２０は、解析対象情報６３１を「３０代」から「３０代及び４０代」に変更する。
　次に、フィードバック情報生成部１２０は、変更した解析対象情報６３１をサンプルレコード計数部１３０に出力する。
　次に、フィードバック情報生成部１２０は、サンプルレコード計数部１３０からサンプルレコードの計数結果（例えば、「１０」）を受け取る。
　次に、フィードバック情報生成部１２０は、解析部１１０から受け取った解析結果６４０とサンプルレコード計数部１３０から受け取ったサンプルレコードの計数結果とに基づいて、フィードバック情報６５１を生成する。即ち、フィードバック情報生成部１２０は、サンプルレコードの数が増加（例えば、「５」から「１０」）することに基づいて、開示対象情報６２１を「３０代」から「３０代及び４０代」に変更することを示唆するフィードバック情報６５１を生成する。
　次に、フィードバック情報生成部１２０は、生成したフィードバック情報６５１を含む開示応答６５０を出力する。
　上述した本実施形態における効果は、第１の実施形態の効果に加えて、フィードバック情報６５１を生成する負荷を軽減することが可能になる点である。
　その理由は、サンプルレコード計数部１３０サンプルレコードを計数し、フィードバック情報生成部１２０がこの計数結果に基づいて、フィードバック情報６５１を生成するようにしたからである。
　以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、各構成要素は、複数の構成要素が１個のモジュールとして実現されたり、１つの構成要素が複数のモジュールで実現されたりしてもよい。また、各構成要素は、ある構成要素が他の構成要素の一部であったり、ある構成要素の一部と他の構成要素の一部とが重複していたり、といったような構成であってもよい。
　以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ可能であれば、ハードウェア的に実現されても、コンピュータ及びプログラムで実現されても、ハードウェア的なモジュールとコンピュータ及びプログラムとの混在により実現されても良い。プログラムは、磁気ディスクや半導体メモリなど、不揮発性のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。
　また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障しない範囲で変更することができる。
　更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生したり、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複していたりしていてもよい。
　更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作の全ての関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障をきたさない範囲内で変更されて良い。
　以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　この出願は、２０１１年８月２５日に出願された日本出願特願２０１１−１８３６１０を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　本発明は、例えば、プライバシ情報に基づく統計処理サービスに適用できる。
　１００　匿名化装置
　１１０　解析部
　１２０　フィードバック情報生成部
　１３０　サンプルレコード計数部
　２００　匿名化装置
　６００　プライバシ情報
　６０１　年齢情報
　６０２　趣味情報
　６１０　サンプル情報
　６２０　開示要求
　６２１　開示対象情報
　６２２　開示形式情報
　６３０　解析指示
　６３１　解析対象情報
　６３２　解析方法情報
　６４０　解析結果
　６５０　開示応答
　６５１　フィードバック情報
　６５２　正確性情報
　１０７０　ＣＰＵ
　１０７１　記憶部
　１０７２　記憶装置
　１０７３　入力部
　１０７４　出力部
　１０７５　通信部
　１０７７　記録媒体

Claims (10)

  1. 　少なくとも１以上の個人毎の個人情報を含むプライバシ情報について、解析の対象とする前記個人情報を示す解析対象情報と解析の方法を示す解析方法情報とを含む解析指示に基づいて、前記プライバシ情報の解析結果を出力する解析手段と、
    　前記プライバシ情報について、開示の対象を示す開示対象情報と開示の形式を示す開示形式情報とを含む開示要求に基づいて、前記解析指示を生成し、前記解析手段に出力し、前記解析手段から受け取った前記解析結果の匿名性に基づいて、前記開示対象情報及び前記開示形式情報の少なくとも一方について、前記匿名性を高くするための変更を示唆するフィードバック情報を含む開示応答を生成し、出力するフィードバック情報生成手段と、を含む
    　匿名化装置。
  2. 　前記フィードバック情報生成手段は、前記解析結果に対応する、前記匿名性が閾値を満足するように前記解析結果の内容を改変した不正確な解析結果を生成し、前記不正確な解析結果の正確性を示す正確性情報を生成し、
    　前記開示応答は、前記正確性情報を含む
    　ことを特徴とする請求項１記載の匿名化装置。
  3. 　前記フィードバック情報生成手段は、前記不正確な解析結果の正確性に対応する、前記匿名性を高くする変更の示唆に基づいて前記開示対象情報及び前記開示形式情報を変更した場合の、解析結果の正確性を更に示す前記正確性情報を生成する
    　ことを特徴とする請求項２記載の匿名化装置。
  4. 　前記解析部１１０は、特定の関数をフィッティングしてプライバシ情報を解析し
    　前記フィードバック情報生成手段は、前記匿名性が高くなるように、前記開示形式情報において前記特定の関数を変更することを示唆するフィードバック情報を含む前記開示応答を生成する
    　ことを特徴とする請求項１乃至３のいずれかに記載の匿名化装置。
  5. 　前記フィードバック情報生成手段は、前記解析の対象とする個人情報のレコード数が増加するように、前記開示対象情報を変更することを示唆するフィードバック情報を含む前記開示応答を生成する
    　ことを特徴とする請求項１乃至４のいずれかに記載の匿名化装置。
  6. 　前記解析対象情報に基づいて、前記解析の対象とする個人情報のレコード数を計数し、計数結果を出力するサンプルレコード計数手段を更に含み、
    　前記フィードバック情報生成手段は、前記解析結果と前記計数結果とに基づいて、前記を生成する
    　ことを特徴とする請求項１乃至５のいずれかに記載の匿名化装置。
  7. 　コンピュータが、
    　少なくとも１以上の個人毎の個人情報を含むプライバシ情報について、解析の対象とする前記個人情報を示す解析対象情報と解析の方法を示す解析方法情報とを含む解析指示に基づいて、前記プライバシ情報の解析結果を出力し、
    　前記プライバシ情報について、開示の対象を示す開示対象情報と開示の形式を示す開示形式情報とを含む開示要求に基づいて、前記解析指示を生成して出力し、前記解析結果の匿名性に基づいて、前記開示対象情報及び前記開示形式情報の少なくとも一方について、前記匿名性を高くするための変更を示唆するフィードバック情報を含む開示応答を生成し、出力する
    　匿名化方法。
  8. 　前記コンピュータが、
    　前記解析結果に対応する、前記匿名性が閾値を満足するように前記解析結果の内容を改変した不正確な解析結果を生成し、前記不正確な解析結果の正確性を示す正確性情報を生成し、
    　前記開示応答は、前記正確性情報を含む
    　ことを特徴とする請求項７記載の匿名化方法。
  9. 　前記コンピュータが、
    　前記不正確な解析結果の正確性に対応する、前記匿名性を高くする変更の示唆に基づいて前記開示対象情報及び前記開示形式情報を変更した場合の、解析結果の正確性を更に示す前記正確性情報を生成する
    　ことを特徴とする請求項８記載の匿名化方法。
  10. 　コンピュータに、
    　少なくとも１以上の個人毎の個人情報を含むプライバシ情報について、解析の対象とする前記個人情報を示す解析対象情報と解析の方法を示す解析方法情報とを含む解析指示に基づいて、前記プライバシ情報の解析結果を出力し、
    　前記プライバシ情報について、開示の対象を示す開示対象情報と開示の形式を示す開示形式情報とを含む開示要求に基づいて、前記解析指示を生成して出力し、前記解析結果の匿名性に基づいて、前記開示対象情報及び前記開示形式情報の少なくとも一方について、前記匿名性を高くするための変更を示唆するフィードバック情報を含む開示応答を生成し、出力する処理を実行させる
    　プログラムを記録した不揮発性媒体。
PCT/JP2012/071250 2011-08-25 2012-08-16 匿名化装置、匿名化方法、及びそのためのプログラムを記録した記録媒体 WO2013027785A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CA2846471A CA2846471A1 (en) 2011-08-25 2012-08-16 Anonymization device, anonymization method and recording medium recoding program therefor
JP2013530049A JP5983611B2 (ja) 2011-08-25 2012-08-16 匿名化装置、匿名化方法、及びそのためのプログラムを記録した記録媒体
US14/240,720 US20140208437A1 (en) 2011-08-25 2012-08-16 Anonymization device, anonymization method and recording medium recording program therefor
EP12825309.3A EP2750074A4 (en) 2011-08-25 2012-08-16 ANONYLATION DEVICE, ANONYLATION METHOD AND RECORDING CARRIER FOR PROGRAM STORAGE THEREFOR

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011183610 2011-08-25
JP2011-183610 2011-08-25

Publications (1)

Publication Number Publication Date
WO2013027785A1 true WO2013027785A1 (ja) 2013-02-28

Family

ID=47746523

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/071250 WO2013027785A1 (ja) 2011-08-25 2012-08-16 匿名化装置、匿名化方法、及びそのためのプログラムを記録した記録媒体

Country Status (5)

Country Link
US (1) US20140208437A1 (ja)
EP (1) EP2750074A4 (ja)
JP (1) JP5983611B2 (ja)
CA (1) CA2846471A1 (ja)
WO (1) WO2013027785A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6083101B1 (ja) * 2016-08-03 2017-02-22 ＡＩ ｉｎｓｉｄｅ株式会社 情報処理装置、方法およびプログラム
JP2017215868A (ja) * 2016-06-01 2017-12-07 Ｎｅｃソリューションイノベータ株式会社 匿名化処理装置、匿名化処理方法、及びプログラム
JP6695511B1 (ja) * 2019-05-21 2020-05-20 三菱電機株式会社 匿名化手法導出装置、匿名化手法導出方法、匿名化手法導出プログラム、及び、匿名化手法導出システム

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3192000A4 (en) * 2014-09-08 2018-07-11 Uri Jacob Braun System and method of controllably disclosing sensitive data
US10430609B2 (en) * 2016-09-23 2019-10-01 International Business Machines Corporation Low privacy risk and high clarity social media support system
US10970418B2 (en) 2018-08-23 2021-04-06 Servicenow, Inc. System and method for anonymized data repositories
EP3933634B1 (en) * 2019-02-26 2024-05-01 Nippon Telegraph And Telephone Corporation Anonymity evaluation device, anonymity evaluation method, and program

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004287846A (ja) * 2003-03-20 2004-10-14 Ntt Data Corp 個人特定防止装置、個人特定防止方法、および、プログラム
JP2007219636A (ja) 2006-02-14 2007-08-30 Nippon Telegr & Teleph Corp <Ntt> データ開示方法およびデータ開示装置
JP2008117014A (ja) 2006-10-31 2008-05-22 Sbi Holdings Inc 情報提供システム、情報提供プログラム、及び情報提供方法
JP2008217425A (ja) * 2007-03-05 2008-09-18 Hitachi Ltd 情報出力装置、情報出力方法、及び、情報出力プログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7747491B2 (en) * 2004-11-19 2010-06-29 Panasonic Corporation Anonymous information system, information registering device and information storing device
US9704203B2 (en) * 2009-07-31 2017-07-11 International Business Machines Corporation Providing and managing privacy scores

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004287846A (ja) * 2003-03-20 2004-10-14 Ntt Data Corp 個人特定防止装置、個人特定防止方法、および、プログラム
JP2007219636A (ja) 2006-02-14 2007-08-30 Nippon Telegr & Teleph Corp <Ntt> データ開示方法およびデータ開示装置
JP2008117014A (ja) 2006-10-31 2008-05-22 Sbi Holdings Inc 情報提供システム、情報提供プログラム、及び情報提供方法
JP2008217425A (ja) * 2007-03-05 2008-09-18 Hitachi Ltd 情報出力装置、情報出力方法、及び、情報出力プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2750074A4

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017215868A (ja) * 2016-06-01 2017-12-07 Ｎｅｃソリューションイノベータ株式会社 匿名化処理装置、匿名化処理方法、及びプログラム
JP6083101B1 (ja) * 2016-08-03 2017-02-22 ＡＩ ｉｎｓｉｄｅ株式会社 情報処理装置、方法およびプログラム
JP6695511B1 (ja) * 2019-05-21 2020-05-20 三菱電機株式会社 匿名化手法導出装置、匿名化手法導出方法、匿名化手法導出プログラム、及び、匿名化手法導出システム
WO2020235008A1 (ja) * 2019-05-21 2020-11-26 三菱電機株式会社 匿名化手法導出装置、匿名化手法導出方法、匿名化手法導出プログラム、及び、匿名化手法導出システム

Also Published As

Publication number Publication date
EP2750074A1 (en) 2014-07-02
CA2846471A1 (en) 2013-02-28
JPWO2013027785A1 (ja) 2015-03-19
EP2750074A4 (en) 2015-04-01
JP5983611B2 (ja) 2016-09-06
US20140208437A1 (en) 2014-07-24

Similar Documents

Publication Publication Date Title
JP5983611B2 (ja) 匿名化装置、匿名化方法、及びそのためのプログラムを記録した記録媒体
US9274918B2 (en) Prediction of impact of workload migration
US9703681B2 (en) Performance optimization tip presentation during debugging
US20180089442A1 (en) External dataset-based outlier detection for confidential data in a computer system
US10095753B2 (en) Aggregation and generation of confidential data insights with confidence values
US20100037166A1 (en) User feedback correlated to specific user interface or application features
JP2014241021A (ja) ソフトウェア評価装置および方法
US10459835B1 (en) System and method for controlling quality of performance of digital applications
España et al. Model-based assessment of public health impact and cost-effectiveness of dengue vaccination following screening for prior exposure
US10613842B2 (en) Simplifying a control flow graph based on profiling data
Rahmandad et al. Enhancing long-term forecasting: Learning from COVID-19 models
US10262154B1 (en) Computerized matrix factorization and completion to infer median/mean confidential values
De Vries et al. Forecasting human African trypanosomiasis prevalences from population screening data using continuous time models
US10535018B1 (en) Machine learning technique for recommendation of skills in a social networking service based on confidential data
JP6870312B2 (ja) 施策導入効果予測装置、施策導入効果予測プログラム及び施策導入効果予測方法
US20180089443A1 (en) Internal dataset-based outlier detection for confidential data in a computer system
US20180089444A1 (en) Outlier detection based on distribution fitness
US20240086310A1 (en) What-if analysis for notebooks
Ergasheva et al. Development and evaluation of GQM method to improve adaptive systems
US10318757B1 (en) Dynamic hierarchical generalization of confidential data in a computer system
US11188834B1 (en) Machine learning technique for recommendation of courses in a social networking service based on confidential data
US20160078543A1 (en) Modeling expenses based on demographics and occurrence of events
JP5871018B2 (ja) 性能予測装置、性能モデル生成方法およびプログラム
JP6901685B2 (ja) 生成プログラム、生成方法、及び情報処理装置
US10713382B1 (en) Ensuring consistency between confidential data value types

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12825309

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2013530049

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14240720

Country of ref document: US

ENP Entry into the national phase

Ref document number: 2846471

Country of ref document: CA

NENP Non-entry into the national phase

Ref country code: DE

REEP Request for entry into the european phase

Ref document number: 2012825309

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2012825309

Country of ref document: EP