WO2014049995A1 - 匿名化を実行する情報処理装置、匿名化方法及びプログラムを記録した記録媒体 - Google Patents

匿名化を実行する情報処理装置、匿名化方法及びプログラムを記録した記録媒体 Download PDF

Info

Publication number
WO2014049995A1
WO2014049995A1 PCT/JP2013/005392 JP2013005392W WO2014049995A1 WO 2014049995 A1 WO2014049995 A1 WO 2014049995A1 JP 2013005392 W JP2013005392 W JP 2013005392W WO 2014049995 A1 WO2014049995 A1 WO 2014049995A1
Authority
WO
WIPO (PCT)
Prior art keywords
record
records
group
conclusion
data set
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2013/005392
Other languages
English (en)
French (fr)
Inventor
翼 高橋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to US14/431,145 priority Critical patent/US20150254462A1/en
Priority to JP2014538140A priority patent/JP6079783B2/ja
Publication of WO2014049995A1 publication Critical patent/WO2014049995A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/24—Querying
    • G06F16/245—Query processing
    • G06F16/2458—Special types of queries, e.g. statistical queries, fuzzy queries or distributed queries
    • G06F16/2465—Query processing support for facilitating data mining operations in structured databases
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/951—Indexing; Web crawling techniques
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification

Definitions

  • the present invention relates to an information processing apparatus, anonymization method, and program for anonymizing information that is not preferably disclosed or used as it is, such as personal information.
  • history information By analyzing the history information, it is possible to grasp a specific user's behavior pattern, grasp a unique tendency of a certain group, predict an event that may occur in the future, and analyze a factor for a past event.
  • the service provider can reinforce and review its own business. Therefore, the history information is useful information having a very high utility value.
  • a certain group is a group composed of a plurality of users.
  • the history information held by such service providers is also useful for third parties other than service providers.
  • the third party can obtain information that could not be obtained by himself / herself by using such history information. Therefore, this third party's own services and marketing can be strengthened.
  • the service provider may request the third party to analyze the history information, or may disclose the history information for research purposes.
  • history information with high utility value may include information that the subject of the history information does not want to be known to others or information that should not be known to a third party.
  • sensitive information Sensitive Attribute (SA), Sensitive Value
  • SA Sensitive Attribute
  • Sensitive Value Sensitive Value
  • history information is given a user identifier (user ID) that uniquely identifies a service user and a plurality of attributes (attribute information) that characterize the service user.
  • the user identifier includes a name, a membership number, an insured number, and the like. Attributes that characterize service users include gender, date of birth, occupation, residential area, and postal code.
  • the service provider records these user identifiers, multiple types of attributes, and sensitive information as one record. The service provider accumulates such records as history information every time the corresponding user (service user) enjoys the service.
  • the third party can specify a service user by using the user identifier. For this reason, the problem of privacy infringement may occur.
  • a certain individual can be identified by combining one or more attribute values given to each record from a data set composed of a plurality of records.
  • Such an attribute that can specify an individual is called a quasi-identifier. That is, even in the history information from which the user identifier is removed, privacy infringement may occur if an individual can be identified based on the quasi-identifier.
  • the statistical analysis is an analysis on history information from which all quasi-identifiers have been removed. Specifically, it is not possible to analyze a product that tends to be purchased by a certain age, or to analyze a specific injury or illness that affects residents living in a certain area.
  • Anonymization is known as a method for converting a history information data set having such characteristics into a form in which privacy is protected while maintaining its original usefulness.
  • Patent Document 1 classifies input data into quasi-identifiers or important information for each attribute, and “k-anonymity” in all the quasi-identifiers and “l-diversity” in all the important information.
  • a technique for outputting a data set that satisfies the above is disclosed.
  • Non-Patent Document 1 proposes k-anonymity, which is the most well-known anonymity index.
  • the technique of satisfying k-anonymity for the data set to be anonymized is called “k-anonymization”.
  • k-anonymization a process of converting the target quasi-identifier is performed so that at least k records having the same quasi-identifier exist in the data set to be anonymized.
  • methods such as generalization and cutoff are known. In such generalization, the original detailed information is converted into abstracted information.
  • Non-Patent Document 2 proposes l-diversity, which is one of the anonymity indicators developed from k-anonymity.
  • a technique for satisfying such l-diversity in a data set to be anonymized is called “l-diversification”.
  • l-diversification a process of converting the target quasi-identifier is performed so that a plurality of records having the same quasi-identifier include at least one or more different types of sensitive information.
  • k-anonymization ensures that the number of records associated with the quasi-identifier is k or more.
  • l-diversification ensures that there are more than one type of sensitive information associated with the quasi-identifier.
  • an anonymization technique for a movement trajectory is known.
  • Non-Patent Document 3 is a paper on a technique for anonymizing a movement locus in which position information is associated in time series. More specifically, the anonymization technique described in Non-Patent Document 3 is an anonymization technique that guarantees consistent k-anonymity by regarding the movement locus from the start point to the end point as a series of sequences. In this anonymization technique of a movement locus, a tube-like anonymous movement locus in which k or more movement loci that are geographically similar are bundled is generated. In the anonymization technique of the movement trajectory, an anonymous movement trajectory in which the geographical similarity is maximized is generated within the restriction of anonymity.
  • Non-Patent Document 3 In the anonymization method of the movement trajectory represented by Non-Patent Document 3, a time-series order relationship is particularly maintained among the properties existing between records given the same user identifier.
  • the “correspondence” information is information “correspondence between records having the same unique identifier (user identifier)”.
  • the data set is, for example, a data set composed of a plurality of records including one or more record pairs each having the same unique identifier.
  • l-diversity is determined for each record group including a part of the records.
  • the data set is then anonymized to satisfy their l-diversity.
  • the “correspondence between records having the same unique identifier” included in the anonymized data set may become too ambiguous compared to that of the original data set.
  • Patent Document 1 does not consider information on “correspondence between records having the same unique identifier”.
  • Non-Patent Document 1 does not disclose a technique related to l-diversity.
  • Non-Patent Document 2 the main purpose is to construct an anonymous movement trajectory that maximizes geographical similarity, and the properties (correspondence) between records are not necessarily maintained. Further, Non-Patent Document 3 does not support guarantee of anonymity of l-diversity.
  • FIG. 28 is a diagram showing an example of a pre-anonymization data set.
  • the pre-anonymization data set shown in FIG. 28 includes a plurality of first records and a plurality of second records.
  • the first record includes a unique identifier and attributes of a medical care month, age, and disease name, and the attribute value of the medical care month is “April”.
  • the second record includes the unique identifier and the attributes of the medical care month, age, and disease name, and the attribute value of the medical care month is “May”.
  • the pre-anonymization data set shown in FIG. 28 includes information on the correspondence between the first record and the second record having the same unique identifier.
  • the correspondence relationship is the correspondence relationship between the attribute values “U” and “A” of the disease name included in each of the first record and the second record having the unique identifier “1” (hereinafter “U ⁇ ” A ”).
  • FIG. 29 is a diagram illustrating an example of a data set after anonymization in which the data set before anonymization illustrated in FIG. 28 is anonymized.
  • the records with unique identifiers “6”, “7”, and “9” are the same group in place of the unique identifier in the data set after anonymization shown in FIG.
  • the identifier “101” is assigned.
  • records having the same group identifier are generalized to the same attribute value of the attribute that is a quasi-identifier.
  • the “correspondence between records having the same unique identifier” corresponding to the group identifier “101” is “YE”, “YD”, “ YC ”,“ XE ”,“ XD ”,“ XC ”,“ WE ”,“ WD ”, and“ WC ”. That is, the post-anonymization data set shown in FIG. 29 is “YC” and “W” that are “correspondences between records having the same unique identifier” that do not exist in the pre-anonymization data set shown in FIG. -E "has been added.
  • An object of the present invention is to provide an information processing apparatus, an anonymization method, and a program therefor that solve the above-described problems.
  • the information processing apparatus of the present invention includes a first record including a unique identifier and at least one first attribute, a second record including the same unique identifier and at least one second attribute as the unique identifier, A second record group that includes a plurality of the second records from a data set including a plurality of sets of sets, and that the second l-diversity can be satisfied, and is included in the second record group A first l-diversity can be satisfied in the first record group comprising the first record paired with the second record, and the first record and the second record Based on the abstraction level of the correspondence relationship existing between the record extraction means for extracting a plurality of the second records and the anonymous group consisting of the second records extracted by the record extraction means.
  • a first data set comprising the first record that can satisfy the second l-diversity in the anonymous group data set and that forms a pair with a second record included in the anonymous group data set.
  • Anonymity group generation means for generating and outputting so that the first l-diversity can be satisfied in the record group.
  • a computer in the anonymization method of the present invention, includes a first record including a unique identifier and at least one first attribute, a second identifier including the same unique identifier as the unique identifier and at least one second attribute.
  • a second record group consisting of the second record from a data set including a plurality of record pairs can satisfy the second l-diversity, and the second record group A first l-diversity can be satisfied in the first record group comprising the first record paired with the included second record; and the first record and the second record A plurality of the second records are extracted based on the abstraction level of the correspondence relationship existing between the anonymous group data set including the extracted second records and the anonymous group data set In the first record group consisting of the first records that can satisfy the second l-diversity in the group data set and that form a pair with the second record included in the anonymous group data set. Generate and output 1 l-diversity so that it can be satisfied.
  • the program recorded on the computer-readable non-volatile recording medium of the present invention includes a first record including a unique identifier and at least one first attribute, a unique identifier identical to the unique identifier, and at least one second record.
  • the second l-diversity can be satisfied in the second record group consisting of the second record from the data set including a plurality of pairs of the second record including the attribute of A first l-diversity can be satisfied in the first record group consisting of the first record paired with a second record included in the second record group; and A process of extracting a plurality of the second records based on the abstraction level of the correspondence relationship existing between the records and the second records, and whether the extracted second records
  • the computer generates and outputs the first l-diversity so that the first l-diversity can be satisfied in the
  • FIG. 1 is a block diagram illustrating a configuration of the anonymization device according to the first embodiment.
  • FIG. 2 is a block diagram illustrating a configuration of a system including the anonymization device according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of a data set.
  • FIG. 4 is a diagram illustrating an example of sorted prerequisite records.
  • FIG. 5 is a diagram illustrating an example of sorted conclusion records.
  • FIG. 6 is a diagram illustrating an example of the premise anonymous group data set.
  • FIG. 7 is a diagram illustrating an example of the conclusion anonymous group data set.
  • FIG. 8 is a diagram illustrating an example of the extracted record group.
  • FIG. 9 is a diagram illustrating an example of an extracted conclusion record group in which conclusion records are collected.
  • FIG. 9 is a diagram illustrating an example of an extracted conclusion record group in which conclusion records are collected.
  • FIG. 10 is a diagram illustrating an example of the common partial record group.
  • FIG. 11 is a diagram illustrating an example of a common partial conclusion record group in which conclusion records are collected for each premise record having the same premise attribute value.
  • FIG. 12 is a diagram illustrating an example of a conclusion sort record group.
  • FIG. 13 is a diagram illustrating an example of a conclusion sort conclusion record group in which conclusion records having the same conclusion attribute value are collected.
  • FIG. 14 is a diagram illustrating an example of the anonymous group conclusion record group.
  • FIG. 15 is a diagram illustrating an example of an anonymous group conclusion record group in which conclusion records are grouped for each group identifier.
  • FIG. 16 is a diagram illustrating a hardware configuration of a computer that realizes the anonymization apparatus according to the present embodiment.
  • FIG. 16 is a diagram illustrating a hardware configuration of a computer that realizes the anonymization apparatus according to the present embodiment.
  • FIG. 17 is a flowchart showing the operation of the present embodiment.
  • FIG. 18 is a diagram illustrating an example of a remaining record.
  • FIG. 19 is a diagram illustrating an example of the conclusion anonymous group.
  • FIG. 20 is a diagram illustrating an example of the conclusion anonymous group.
  • FIG. 21 is a diagram illustrating an example of the conclusion anonymous group.
  • FIG. 22 is a block diagram showing a configuration of the anonymization apparatus 200 according to the second embodiment.
  • FIG. 23 is a diagram illustrating an example of combinations of transition vectors.
  • FIG. 24 is a diagram illustrating an example of a combination of two transition vectors.
  • FIG. 25 is a diagram showing whether the similarity between transition vectors is “0”.
  • FIG. 26 is a diagram illustrating an example of transition vectors excluding used transition vectors.
  • FIG. 27 is a diagram illustrating combinations between transition vectors.
  • FIG. 28 is a diagram illustrating an example of a pre-anonymization data set.
  • FIG. 29
  • FIG. 1 is a block diagram showing the configuration of the anonymization device 100 according to the first embodiment of the present invention.
  • the anonymization device (anonymization device 100) is also generally called an information processing device.
  • the anonymization device 100 includes a record extraction unit 110 and an anonymous group generation unit 120.
  • FIG. 2 is a block diagram showing a configuration of the anonymization system 101 including the anonymization apparatus 100 according to the present embodiment.
  • the anonymization system 101 includes an anonymization device 100, a history information storage unit 500, and an anonymization information storage unit 600.
  • the history information storage unit 500 stores a data set 510 as shown in FIG.
  • the data set 510 is history information including a plurality of records including a unique identifier and attributes of a diagnosis month, age, and disease name.
  • the data set 510 includes a record (premise record) having an attribute value “April” for “medical month” and a record (conclusion record) having an attribute value “May” for “medical month” having the same unique identifier. ) Is included.
  • the premise record and the conclusion record do not have to include the same attribute.
  • it may be a data set whose premise record includes only a unique identifier and certain sensitive attributes, and whose conclusion record includes only a unique identifier and other sensitive attributes.
  • FIGS. 4 and 5 are diagrams showing the data set 510 shown in FIG. 3 separately for the premise record (first record) and the conclusion record (second record) for convenience of the following description. That is, the premise record portion 521 and the conclusion record portion 522 shown in FIGS. 4 and 5 are not generated by the anonymization device 100 but are shown for convenience of explanation.
  • FIG. 4 shows a premise record portion 521 composed of premise records.
  • FIG. 5 shows a conclusion record portion 522 composed of conclusion records.
  • the anonymization apparatus 100 extracts a plurality of conclusion records (a conclusion record group, also referred to as a first record group) from the data set 510, and further extracts a plurality of conclusion records from the conclusion record group based on the abstraction level of the correspondence relationship. Extract conclusion records.
  • the plurality of conclusion records constituting the conclusion record group are a plurality of conclusion records that can satisfy the second l-diversity in the conclusion record group, and are combined with each of the conclusion records. Is a plurality of conclusion records such that the first l-diversity can be satisfied in a plurality of premise records (a premise record group, also referred to as a first record group).
  • the anonymization device 100 generates and outputs a conclusion anonymous group data set (also referred to as an anonymous group data set) composed of conclusion records from the plurality of extracted conclusion records.
  • the conclusion record satisfies the second l-diversity, and the first l- with respect to the first record group having a correspondence relationship with “the plurality of extracted conclusion records”. It is a record that can be anonymized to satisfy diversity.
  • the anonymization apparatus 100 assigns a correspondence relationship between each of the premise records and the conclusion record to each of the premise records included in the premise anonymous group data set and each of the conclusion records included in the anonymous group data set. You may do it.
  • the premise anonymous group data set is a data set in which a plurality of premise records forming a pair with each of the conclusion records included in the conclusion anonymous group data set are anonymized.
  • FIG. 6 is a diagram illustrating an example of the premise anonymous group data set 611.
  • FIG. 7 is a diagram illustrating an example of the conclusion anonymous group data set 612.
  • each record of the premise anonymous group data set 611 and the conclusion anonymous group data set 612 includes a group identifier and a related identifier instead of the unique identifier.
  • the unique identifier surrounded by a dotted frame is described for easy understanding of the relationship between each record of the premise record 521 and each record of the premise anonymous group data set 611. . Therefore, the unique identifier is not included in the premise anonymous group data set 611. Note that the unique identifier enclosed in the dotted frame in FIG. 7 is not included in the conclusion anonymous group data set 612 as well.
  • the group identifier is an identifier that is identically assigned to a plurality of premise records included in a premise anonymous group. Similarly, the group identifier is an identifier that is identically assigned to a plurality of conclusion records included in a certain conclusion anonymous group.
  • the related identifier is a group identifier of the other record having the same unique identifier. That is, a plurality of premise records corresponding to the same group identifier form one premise anonymous group. Similarly, a plurality of conclusion records corresponding to the same group identifier form one conclusion anonymous group.
  • each of the record of the premise anonymous group data set 611 and the conclusion anonymous group data set 612 may include these unique identifiers.
  • the anonymization information storage unit 600 may delete and output the unique identifiers in response to an acquisition request for the premise anonymous group data set 611 and the conclusion anonymous group data set 612 from the outside.
  • the constituent elements shown in FIG. 1 may be constituent elements in hardware units or constituent elements divided into functional units of the computer apparatus.
  • the components shown in FIG. 1 will be described as components divided into functional units of the computer apparatus.
  • the record extraction unit 110 generates a transition vector.
  • the transition vector includes each attribute of the second attribute (hereinafter referred to as the conclusion attribute) included in the conclusion record for each attribute value of the first attribute (hereinafter referred to as the prerequisite attribute) included in the prerequisite record.
  • This is a vector whose element is the frequency at which the value appears in the conclusion record paired with the premise record.
  • the transition vector is a vector whose element is the appearance frequency of each attribute value of the conclusion attribute for each attribute value of the premise attribute.
  • the premise attribute is a first attribute included in the premise record.
  • the conclusion attribute is a second attribute included in the conclusion record.
  • the appearance frequency is paired with a frequency premise record that appears in the conclusion record in which each attribute value of the conclusion attribute forms a pair with the premise record.
  • the record extraction unit 110 refers to the premise record portion 521 shown in FIG. 4 and the conclusion record portion 522 shown in FIG. 5 to calculate a transition vector as follows.
  • the premise attribute included in the premise record is a disease name attribute of the premise record of the premise record portion 521 shown in FIG.
  • the conclusion attribute included in the conclusion record is an attribute of the disease name of the record of the conclusion record portion 522 shown in FIG.
  • the premise record whose disease name attribute value is “U” has unique identifiers “1”, “13”, “27”, “39”, “14”, “26”, “28”, “29”. , “38”, “11”, and “12”.
  • the conclusion record paired with these premise records has the same unique identifiers “1”, “13”, “27”, “39”, “14”, “26”, “28”, “29”, “38”. ”,“ 11 ”, and“ 12 ”are conclusion records.
  • the record extraction unit 110 calculates the appearance frequency of attribute values that appear as attributes of disease names included in these conclusion records.
  • “E” and “F” that are attribute values of the disease name attribute of the conclusion record do not appear in the conclusion record that forms a pair with the premise record whose disease name attribute value is “U”. Therefore, the appearance frequencies of “E” and “F” are both “0”.
  • the record extraction unit 110 generates the transition vector tr U for the attribute value “U” as follows.
  • tr U (0.37, 0.28, 0.19, 0.19, 0.00, 0.00) T
  • the record extraction unit 110 uses the transition vectors tr V , tr W , tr X , tr Y and the attribute values “V”, “W”, “X”, “Y”, and “Z”, respectively.
  • Generate tr Z as follows.
  • tr V (0.22, 0.44, 0.22, 0.11, 0.00, 0.00)
  • T tr W (0.22, 0.33, 0.33, 0.11, 0.00, 0.00)
  • T tr X (0.20, 0.20, 0.00, 0.20, 0.40, 0.00)
  • T tr Y (0.00, 0.00, 0.00, 0.67, 0.33, 0.00)
  • T tr Z (0.00, 0.00, 0.00, 0.00, 0.00, 0.00, 1.00) T
  • the record extraction unit 110 calculates the similarity between these transition vectors. When any two transition vectors of the transition vectors can satisfy the second l-diversity in the conclusion record group, the record extraction unit 110 determines the transitions as the similarity between the transition vectors.
  • the record extraction unit 110 may calculate not only the inner product but also the Euclidean distance, for example, as a distance as long as the similarity represents the similarity between vectors and the distance represents the dissimilarity between vectors. . Further, when any two transition vectors of the transition vectors cannot satisfy the second l-diversity in the conclusion record group, the record extraction unit 110 sets the similarity between the transition vectors to “0”. And
  • two transition vectors can satisfy the second l-diversity in the conclusion record group means that the conclusion attribute value of the conclusion attribute of the conclusion record corresponding to each of the two transition vectors is the second That is, there are at least 1 type (for example, 2 types) of diversity. That is, it is the same in each conclusion record corresponding to each of the two transition vectors, and there are at least one kind of conclusion attribute value of the conclusion attribute of the second l-diversity (for example, two kinds). It is.
  • the record extraction unit 110 calculates other similarities as follows.
  • the record extraction unit 110 includes the premise attribute values corresponding to the transition vectors of the number of first l-diversity types in the order of transition vectors having the highest similarity (that is, in the order of decreasing abstraction).
  • a premise record and a conclusion record that forms a pair with the premise record are extracted.
  • “corresponding to the first l-diversity number of the transition vectors” is “a premise record group having a correspondence relationship (the first record comprising the first record paired with the second record, The first l-diversity can be satisfied in the (record group) ".
  • the record extraction unit 110 may extract only the above-mentioned conclusion record.
  • the record extraction unit 110 may refer to the premise record of the data set 510 based on the unique identifier of the extracted conclusion record in the subsequent processing.
  • the record extraction unit 110 extracts a set of a premise record and a conclusion record as follows.
  • the pair of the premise record and the conclusion record to be extracted may be extracted so that the abstraction level is small, and the order may be any order.
  • the record extraction unit 110 selects the transition vector tr U corresponding to the premise attribute value of “U” having the maximum similarity. Next, the record extraction unit 110 selects the transition vector tr V and the transition vector tr W in descending order of the similarity with the transition vector tr U.
  • the premise records corresponding to these and the conclusion records forming a pair with the premise records have unique identifiers “1”, “13”, “27”, “39”, “14”, “26”, “28”. , “29”, “38”, “11”, “12”, “2”, “25”, “10”, “15”, “16”, “30”, “24”, “31”, “ These records are “3”, “32”, “37”, “4”, “22”, “23”, “9”, “17”, “36”, and “33”.
  • the record extraction unit 110 extracts these records.
  • FIG. 8 is a diagram illustrating an example of the extracted record group 530 extracted by the record extraction unit 110 as described above.
  • FIG. 8 is a diagram illustrating the extracted record group 530 as records in which the premise record and the conclusion record that form a pair are included in the extraction premise record group 531 and the extraction conclusion record group 532, respectively.
  • FIG. 9 is a diagram illustrating an example of an extracted conclusion record group 532 in which conclusion records are collected for each premise record having the same premise attribute value with respect to the extraction record group 530 illustrated in FIG.
  • the unique identifier for example, “1”
  • the premise attribute value and the conclusion attribute value for example, “UA”
  • a conclusion record corresponding to a premise record whose premise attribute value is “U” has unique identifiers “1”, “13”, “27”, “39”, “14”, The records are “26”, “28”, “29”, “38”, “11”, and “12”.
  • the anonymous group generation unit 120 may extract only the above-described conclusion record.
  • the anonymous group generation unit 120 may refer to the premise record of the data set 510 based on the unique identifier of the extracted conclusion record in the subsequent processing.
  • the anonymous group generation unit 120 compares the number of conclusion records having the premise attribute values “U”, “V”, and “W” with the conclusion attribute values “A”, and the minimum value is 2. judge.
  • the anonymous group generation unit 120 extracts two sets of the premise record and the conclusion record for each premise record having the same premise attribute value. For example, a set of a premise record whose premise attribute value is “U” and a premise record whose conclusion attribute value is “A” is a unique identifier of “1”, “13”, “27”, and “39”. ”Of the premise record and the conclusion record. Therefore, for example, the anonymous group generation unit 120 extracts a pair of a premise record and a conclusion record having unique identifiers “1” and “13”.
  • FIG. 10 is a diagram illustrating an example of the common partial record group 540, with each of the premise record and the conclusion record forming a pair as records included in the common partial premise record group 541 and the common partial conclusion record group 542, respectively.
  • the common partial record group 540 includes a set of a premise record and a conclusion record extracted from the extraction record group 530 illustrated in FIG.
  • the premise record and the conclusion record are extracted so that a conclusion record group corresponding to each premise record having the same premise attribute value is common.
  • the common part record group 540 includes the premise record and the conclusion record extracted as described above as the common part premise record group 541 and the common part conclusion record group 542, respectively.
  • FIG. 11 is a diagram illustrating an example of the common partial conclusion record group 542 in which conclusion records are collected for each premise record having the same premise attribute value with respect to the common partial record group 540 illustrated in FIG.
  • the number of conclusion records having the conclusion attribute value “A” corresponding to the respective assumption records having the assumption attribute value “U”, “V”, and “W” is 2 One.
  • FIG. 12 is a diagram showing the common part record group 540 of FIG. 10 as the conclusion sort record group 550 in a state where the common part record group 540 is sorted by the conclusion attribute of the common part premise record group 541.
  • the conclusion sort record group 550 shown in FIG. 12 is not generated by the anonymization apparatus 100 but is shown for convenience of explanation.
  • FIG. 12 shows the conclusion sort as a record in which each of the pair of the premise record and the conclusion record forming a pair sorted in the conclusion attribute is included in each of the conclusion sort premise record group 551 and the conclusion sort conclusion record group 552.
  • a record group 550 (common partial record group 540) is shown.
  • FIG. 13 shows a conclusion sort conclusion record group 552 (see FIG. 12) in which the common partial conclusion record group 542 shown in FIG. 10 is sorted into the conclusion sort conclusion record group 552 shown in FIG. It is a figure showing an example of a common partial conclusion record group 542).
  • a conclusion record having a conclusion attribute value “A” has two sets of combinations corresponding to the assumption records having the assumption attribute values “U”, “V”, and “W” (hereinafter, “ , Referred to as combination C).
  • These two combinations C are, for example, combinations of unique identifiers “1”, “2”, and “32” and combinations of “13”, “25”, and “37”.
  • the combination C may be any combination as long as it is a combination corresponding to each of the premise records whose premise attribute values are “U”, “V”, and “W”. That is, the combination C is a combination corresponding to the premise record satisfying the first l-diversity.
  • the anonymous group generation unit 120 uses the common partial conclusion record group 542 to generate an anonymous group conclusion record group 562 including conclusion records grouped into conclusion anonymous groups satisfying the second l-diversity. Generate.
  • the anonymous group generation unit 120 selects a combination C with a conclusion attribute value “B” and a combination C with a conclusion attribute value “A” from the conclusion sort conclusion record group 552, and generates a conclusion anonymous group.
  • a group identifier (for example, “201”) is assigned to this.
  • the anonymous group generation unit 120 may select the combination C so that the remaining number of combinations C is as uniform as possible for each conclusion attribute value.
  • FIG. 14 is a diagram illustrating an example of the anonymous group conclusion record group 562 generated using the common partial conclusion record group 542.
  • the premise record group enclosed with the dotted-line frame in a figure is described in order to make the relationship between a conclusion record and a premise record easy to understand, and is not included in the anonymous group conclusion record group 562.
  • FIG. 15 is a diagram illustrating an example of the anonymous group conclusion record group 562 in which conclusion records are grouped for each group identifier with respect to the anonymous group conclusion record group 562 illustrated in FIG.
  • anonymous group generation unit 120 assigns an attribute value of a quasi-identifier other than the conclusion attribute (here, an age attribute value). ) Is generalized (converted to the same value) to generate a conclusion anonymous group data set 612 shown in FIG. 7 and output as a conclusion anonymous group data set (second anonymous group data set).
  • the conclusion anonymous group data set 612 shown in FIG. 7 is sorted by group identifier, the conclusion records of the conclusion anonymous group data set output by the anonymous group generation unit 120 may be in any arrangement order.
  • the anonymous group generation unit 120 does not need to generalize the attribute values of the quasi-identifiers other than the conclusion attributes (here, the attribute values of the medical care month and the age) (for example, the conclusion record includes these attributes). If not, the anonymous group conclusion record group 562 may be output as it is as a conclusion anonymous group data set.
  • premise anonymous group data set consisting of premise records
  • the premise anonymous group data set is not limited to the following method, and may be generated by another anonymization device or method.
  • the anonymous group generation unit 120 generates and outputs a premise anonymous group data set 611 shown in FIG. 6 using the common partial premise record group 541 shown in FIG.
  • the anonymous group generation unit 120 combines the premise records corresponding to the premise attribute values of the number of types of the first l-diversity from the top of the common partial premise record group 541 (for example, the unique identifier is “1”). ”,“ 2 ”and“ 32 ”combination of the premise records) are sequentially extracted. And the anonymous group production
  • generation part 120 provides a group identifier (for example, "101") to each of the extracted combination. That is, each of the extracted combinations forms a premise anonymous group.
  • the anonymous group generation unit 120 generalizes (converts to the same value) the attribute values of the quasi-identifiers other than the premise attributes (here, the age attribute values) of the premise records to which the same group identifier is assigned. )
  • the anonymous group generation unit 120 generates the premise anonymous group data set 611 shown in FIG. 6 using the group identifier of the conclusion record having the same unique identifier as the related identifier.
  • FIG. 16 is a diagram illustrating a hardware configuration of a computer 700 that realizes the anonymization apparatus 100 according to the present embodiment.
  • the computer 700 includes a CPU (Central Processing Unit) 701, a storage unit 702, a storage device 703, an input unit 704, an output unit 705, and a communication unit 706. Furthermore, the computer 700 includes a recording medium (or storage medium) 707 supplied from the outside.
  • the recording medium 707 may be a non-volatile recording medium that stores information non-temporarily.
  • the CPU 701 controls the overall operation of the computer 700 by operating an operating system (not shown).
  • the CPU 701 reads a program and data from a recording medium 707 mounted on the storage device 703, for example, and writes the read program and data to the storage unit 702.
  • the program is, for example, a program that causes the computer 700 to execute an operation of a flowchart shown in FIG.
  • the CPU 701 executes various processes as the record extraction unit 110 and the anonymous group generation unit 120 shown in FIG. 1 according to the read program and based on the read data.
  • the CPU 701 may download a program or data to the storage unit 702 from an external computer (not shown) connected to a communication network (not shown).
  • the storage unit 702 stores programs and data.
  • the storage unit 702 may store a data set 510, an extracted record group 530, a common partial record group 540, an anonymous group conclusion record group 562, a premise anonymous group data set 611, a conclusion anonymous group data set 612, and the like.
  • the storage unit 702 may include a history information storage unit 500 and an anonymized information storage unit 600.
  • the storage device 703 is, for example, an optical disk, a flexible disk, a magnetic optical disk, an external hard disk, and a semiconductor memory, and includes a recording medium 707.
  • the storage device 703 (recording medium 707) stores the program in a computer-readable manner.
  • the storage device 703 may store data.
  • the storage device 703 may store the same data as the storage unit 702.
  • the storage device 703 may include a history information storage unit 500 and an anonymized information storage unit 600.
  • the input unit 704 is realized by, for example, a mouse, a keyboard, a built-in key button, and the like, and is used for an input operation.
  • the input unit 704 is not limited to a mouse, a keyboard, and a built-in key button, and may be a touch panel, an accelerometer, a gyro sensor, a camera, or the like.
  • the output unit 705 is realized by a display, for example, and is used for confirming the output.
  • the communication unit 706 realizes an interface with the outside.
  • the communication unit 706 is included as part of the record extraction unit 110 and the anonymous group generation unit 120.
  • the functional unit block of the anonymization device 100 shown in FIG. 1 is realized by the computer 700 having the hardware configuration shown in FIG.
  • the means for realizing each unit included in the computer 700 is not limited to the above.
  • the computer 700 may be realized by one physically coupled device, or may be realized by two or more physically separated devices connected by wire or wirelessly and by a plurality of these devices. .
  • the recording medium 707 in which the above-described program code is recorded may be supplied to the computer 700, and the CPU 701 may read and execute the program code stored in the recording medium 707.
  • the CPU 701 may store the code of the program stored in the recording medium 707 in the storage unit 702, the storage device 703, or both. That is, the present embodiment includes an embodiment of a recording medium 707 that stores a program (software) executed by the computer 700 (CPU 701) temporarily or non-temporarily.
  • FIG. 17 is a flowchart showing the operation of the present embodiment. Note that the processing according to this flowchart may be executed based on the above-described program control by the CPU. Further, the step name of the process is described by a symbol as in S601.
  • the record extraction unit 110 generates a transition vector (S601).
  • the record extraction unit 110 calculates the similarity between transition vectors (S602).
  • the record extraction unit 110 sets a premise record including a premise attribute value corresponding to the transition vector of the number of types of the first l-diversity in the descending order of the similarity vector, and the premise record. And the conclusion record forming the above are extracted and output as the extracted record group 530 (S603).
  • the anonymous group generation unit 120 reads, from the extracted record group 530, for each premise record having the same premise attribute value, “the number of conclusion records having the same conclusion attribute value corresponding to those premise records is common”. Thus, a set of a premise record and a conclusion record is extracted as the common partial record group 540 (S604).
  • the anonymous group generation unit 120 generates an anonymous group conclusion record group 562 including conclusion records grouped into conclusion anonymous groups satisfying the second l-diversity using the common partial conclusion record group 542. (S606).
  • the anonymous group generation unit 120 generalizes the attribute values of the quasi-identifiers other than the conclusion attribute for each group of the anonymous group conclusion record group 562, generates a conclusion anonymous group data set 612, and outputs the result as a conclusion anonymous group. (S607).
  • the anonymous group generation unit 120 groups the premise records.
  • the anonymous group generation unit 120 sequentially extracts the combination of the premise records corresponding to the premise attribute value of the number of types of the first l-diversity from the top of the common partial premise record group 541, and groups each of the extracted combinations.
  • An identifier is assigned (S608).
  • the premise records may be grouped by using the premise records as conclusion records and other record groups as premise records.
  • the anonymous group generation unit 120 generalizes the attribute values of the quasi-identifiers other than the premise attributes of the premise records to which the same group identifier is assigned (S609).
  • the anonymous group generation unit 120 generates and outputs the premise anonymous group data set 611 shown in FIG. 6 using the group identifier of the conclusion record having the same unique identifier as the related identifier (S610).
  • the anonymous group generation unit 120 corresponds to the premise anonymous group data set (first anonymous group data set) and the conclusion anonymous group data set (second anonymous group data set) output in the operation shown in FIG. Add remaining records that can be added so as not to cause abstraction.
  • the remaining records are conclusion records having other unique identifiers other than the unique identifiers of the conclusion records included in the conclusion anonymous group data set.
  • FIG. 18 is a diagram illustrating an example of a remaining record 570 obtained by removing the conclusion anonymous group data set 612 illustrated in FIG. 7 from the conclusion record portion 522 illustrated in FIG.
  • the anonymous group generation unit 120 adds a set of a plurality of premise records and conclusion records that meet the following conditions for a specific conclusion anonymous group.
  • the first condition is that the plurality of premise records have the same premise attribute values that are different from the premise attribute values of any premise records that form a pair with the conclusion records included in the specific conclusion anonymous group.
  • the second condition is that the plurality of conclusion records include all kinds of the premise attribute values of the premise records included in the specific conclusion anonymous group.
  • the anonymous group generation unit 120 selects a group having a group identifier “201” as a specific conclusion anonymous group after step S606 illustrated in FIG.
  • the anonymous group generation unit 120 leaves a conclusion record corresponding to the premise attribute values other than the premise attribute values “U”, “V”, and “W” and having the conclusion attribute values “A” and “B”. Extract from record 570.
  • the anonymous group generation unit 120 assigns a group identifier of “201” to the extracted conclusion record.
  • the anonymous group generation unit 120 executes the processing after step S607 shown in FIG. 7 including the extracted conclusion record and the corresponding premise record.
  • FIG. 19 is a diagram schematically showing an example of the conclusion anonymous group formed as described above and having the group identifier “201”. As shown in FIG. 19, there are eight types of correspondence relationships for each unique identifier before anonymization. Further, when these conclusion records are all grouped under the same group identifier, that is, when the premise attribute value and the conclusion attribute value can be arbitrarily exchanged, there are still eight types of correspondences. That is, no correspondence abstraction occurs.
  • the anonymous group generation unit 120 may add a set of a plurality of premise records and conclusion records that meet the following conditions for a specific conclusion anonymous group.
  • the first condition is that the plurality of conclusion records have the same conclusion attribute value that is different from any of the conclusion attribute values of the conclusion records included in the particular conclusion anonymous group.
  • the second condition is that each of the plurality of premise records includes all types of premise attribute values of the premise records corresponding to the conclusion records included in the specific conclusion anonymous group.
  • FIG. 20 is a diagram schematically showing an example of the conclusion anonymous group formed based on the above-described conditions.
  • the anonymous group generation unit 120 can make anonymization satisfying each of the first l-diversity and the second l-diversity from the remaining records, and a conclusion composed of a premise anonymous group consisting of premise records and a conclusion record Generate each anonymous group.
  • the remaining record is a conclusion record having a unique identifier other than the unique identifier of the conclusion record included in the conclusion anonymous group data set output in the operation shown in FIG.
  • FIG. 21 is a diagram showing an example of the conclusion anonymous group generated from the remaining record 570.
  • the conclusion anonymous group generated as described above satisfies the second l-diversity
  • the anonymous group including the premise records corresponding to the conclusion records is the first l-diversity.
  • -Satisfy diversity there are five types of correspondences for each unique identifier before anonymization, whereas there are nine types of correspondences when grouped. Therefore, an abstraction of correspondence occurs.
  • the record extraction unit 110 and the anonymous group generation unit 120 use the record whose attribute value for the medical care month is “April” as the premise record (first record), and the attribute value for the medical care month is “May. ”As a conclusion record (second record).
  • the record extraction unit 110 and the anonymous group generation unit 120 use the record with the attribute value of “May” as the premise record (first record) and the record with the attribute value of the month as “April”. It is good also as a conclusion record (2nd record).
  • the correspondence relationship may be a correspondence relationship in an arbitrary direction regardless of the physical property of the attribute.
  • the record extraction unit 110 and the anonymous group generation unit 120 perform record extraction and selection in each operation in the order shown in view of only the relationship between the premise attribute value and the conclusion attribute value. I did it. However, the record extraction unit 110 and the anonymous group generation unit 120 perform record extraction and selection in each operation in consideration of anonymization of other attributes (for example, generalization of age) (for example, attribute values of age) (Records close to each other may be in the same group).
  • attributes for example, generalization of age
  • attribute values of age for example, attribute values of age
  • step S608 to step S610 shown in FIG. 7 may be executed at any timing after step S604 while keeping the order.
  • the anonymous group generation unit 120 may output the premise anonymous group data set and the conclusion anonymous data set separately, or may collectively output them as one data set.
  • the anonymous group generation unit 120 may associate the group identifier of the corresponding premise record with the conclusion record of the conclusion anonymous group data set as a related identifier. In this case, the anonymous group generation unit 120 may not associate the related identifier with the premise record.
  • the anonymous group generation unit 120 may match the group identifiers of the premise record of the premise anonymous group and the conclusion record of the conclusion anonymous group in correspondence. In this case, the anonymous group generation unit 120 may not associate the related identifier with the premise record and the conclusion record.
  • the first effect of the present embodiment described above is that when anonymization is performed so that a data set including information of “correspondence between records having the same unique identifier” satisfies l-diversity, It is possible to prevent the correspondence information from becoming too ambiguous.
  • the record extraction unit 110 extracts the premise record and the conclusion record based on the fact that the first and second l-diversity can be satisfied and the abstraction level of the correspondence relationship.
  • the anonymous group generation unit 120 refers to the premise record extracted by the record extraction unit 110 and satisfies the first l-diversity and the second l-diversity from the extracted conclusion record.
  • a conclusion anonymous record is generated by extracting a conclusion record as possible.
  • the second effect of the present embodiment described above is that a data set including information on “correspondence between records having the same unique identifier” has l-diversity of l value different between the premise record and the conclusion record. Even when anonymization is performed so as to satisfy, it is possible to prevent the correspondence information from becoming too ambiguous.
  • the reason is the same as the reason for the first effect.
  • the third effect of the present embodiment described above is that the records included in the data set can be used more effectively.
  • the reason is that the anonymous group generation unit 120 adds the remaining records that can be added to the premise anonymous group data set and the conclusion anonymous group data set so that the abstraction of the correspondence relationship does not occur. .
  • the fourth effect of the present embodiment described above is that the records included in the data set can be used more effectively.
  • the reason is that the anonymous group generation unit 120 generates each of the premise anonymous group and the conclusion anonymous group from the remaining records.
  • the fifth effect of the present embodiment described above is that the data set can be anonymized so that the utility value is not lowered.
  • the reason is that the record extraction unit 110 and the anonymous group generation unit 120 perform record extraction and selection in each operation in consideration of anonymization of other attributes.
  • FIG. 22 is a block diagram showing a configuration of the anonymization apparatus 200 according to the second embodiment of the present invention.
  • the components shown in FIG. 22 are not hardware-based components but functional-unit components. Note that the components shown in FIG. 22 may be components in hardware units or components divided into functional units of a computer device. Here, the components shown in FIG. 1 will be described as components divided into functional units of the computer apparatus.
  • the anonymization device 200 further includes a transition vector extraction unit 230 as compared with the anonymization device 100 of the first embodiment, and replaces the record extraction unit 110 with a record extraction unit. 210.
  • the transition vector extraction unit 230 extracts a combination of the two transition vectors as a calculation target when there are two or more types of co-occurrence of elements between the two transition vectors.
  • the transition vector extraction unit 230 handles as processing are as follows.
  • T tr A (0.3, 0.2, 0.2, 0.0, 0.0, 0.0, 0.0, 0.0, 0.1, 0.1, 0.0, 0.2)
  • T tr B (0.2, 0.0, 0.2, 0.0, 0.0, 0.0, 0.0, 0.0, 0.1, 0.3, 0.2)
  • T tr C (0.0, 0.0, 0.0, 0.0, 0.0, 0.0, 0.0, 0.1, 0.1, 0.2, 0.0)
  • T tr D (0.0, 0.0, 0.1, 0.0, 0.2, 0.1, 0.1, 0.2, 0.2, 0.0, 0.0)
  • T tr E (0.0, 0.0, 0.2, 0.1, 0.2, 0.0, 0.0, 0.0, 0.0, 0.0, 0.0, 0.0, 0.0)
  • T tr F (0.0, 0.0, 0.0, 0.0, 0.0, 0.1, 0.2, 0.0, 0.0, 0.0, 0.0, 0.0, 0.0)
  • the transition vector extraction unit 230 does not extract the combination of the transition vector tr A and the transition vector tr E as a calculation target.
  • FIG. 23 is a diagram illustrating an example of a combination of two transition vectors extracted by the transition vector extraction unit 230.
  • each transition vector is a node, and a combination of two vectors to be calculated is indicated by an edge.
  • the transition vector extraction unit 230 generates, for example, the following calculation target information.
  • the transition vector extraction unit 230 has more than “l ⁇ 1” types of the first l-diversity as the other transition vectors whose similarity to the transition vector is not “0”. In this case, a combination of the transition vector and another transition vector is extracted as a calculation target.
  • the transition vector extraction unit 230 calculates the similarity between the transition vectors by taking a logical product between the elements corresponding to the transition vectors. Is determined. That is, when all of the logical products between the elements are “0”, the transition vector extraction unit 230 determines that the similarity between the transition vectors is “0”. If any of the logical products between the elements is not “0”, the transition vector extraction unit 230 determines that the similarity between the transition vectors is not “0”.
  • the transition vector extraction unit 230 handles a plurality of transition vectors to be handled by the process as shown in the first extraction operation.
  • transition vector extraction unit 230 extracts a combination of the transition vector tr A , the transition vector tr B, and the transition vector tr C as a calculation target.
  • transition vector extraction unit 230 does not extract a combination of the transition vector tr F and another transition vector as a calculation target.
  • FIG. 24 is a diagram illustrating an example of a combination of two transition vectors extracted by the transition vector extraction unit 230.
  • each transition vector is a node, and a combination of two vectors to be calculated is indicated by an edge.
  • the transition vector extraction unit 230 generates, for example, the following calculation target information.
  • FIG. 25 is a schematic diagram showing whether or not the similarity between transition vectors to be processed by the transition vector extraction unit 230 is “0”.
  • FIG. 25 shows each transition vector as a node, and an edge indicates that the similarity between two transition vectors is not “0”.
  • the transition vector extraction unit 230 determines the three transition vectors tr A , transition vector tr B, and transition vector tr C between the transition vectors. Since none of the similarities is “0” (there is an edge), a combination between these transition vectors is extracted as a calculation target. Further, since the transition vector tr D , the transition vector tr E, and the transition vector tr F have the similarity between the transition vector tr D and the transition vector tr F being “0”, the transition vector extraction unit 230 The combinations between the transition vectors are not extracted as calculation targets.
  • the transition vector extraction unit 230 generates, for example, the following calculation target information.
  • the transition vector extraction unit 230 may execute the first, second, and third extraction operations described above alone or in any combination.
  • the record extraction unit 210 receives the extracted result from the transition vector extraction unit 230.
  • the record extraction unit 210 outputs the generated transition vector to the transition vector extraction unit 230 subsequent to step S601 shown in FIG. Then, when the record extraction unit 210 receives the extracted result from the transition vector extraction unit 230, the record extraction unit 210 performs the operations after step S602.
  • the record extraction unit 210 may output the transition vector excluding the used transition vector to the transition vector extraction unit 230 subsequent to step S603 shown in FIG. In this case, when the record extraction unit 210 receives the extracted result from the transition vector extraction unit 230, the record extraction unit 210 may execute the subsequent operations from step S602 again.
  • the used transition vector is a transition vector corresponding to the premise record extracted in step S603.
  • FIG. 26 is a diagram illustrating an example of transition vectors excluding used transition vectors output from the record extraction unit 210.
  • the record extraction unit 210 uses three transition vectors tr A , transition vectors tr B, and transition vectors tr C in step S603 of FIG.
  • the record extraction unit 210 obtains the transition vector tr D , the transition vector tr E , the transition vector tr G, and the transition vector tr H excluding the three transition vectors tr A , transition vector tr B, and transition vector tr C.
  • the data is output to the transition vector extraction unit 230.
  • FIG. 27 is a diagram illustrating combinations between transition vectors that the transition vector extraction unit 230 extracts as the calculation target for the transition vectors received from the record extraction unit 210.
  • the transition vector extraction unit 230 generates the following calculation target information.
  • transition vector extraction unit 230 generates calculation target information indicating the calculation target of similarity for a plurality of transition vectors, and the record extraction unit 210 calculates the similarity based on the calculation target information. Because. That is, the calculation process is not executed for the unnecessary similarity.
  • the record extraction unit 210 outputs the transition vector excluding the used transition vector to the transition vector extraction unit 230 and acquires the calculation target information, it is possible to further improve the anonymization efficiency. Become.
  • each component described in each of the above embodiments does not necessarily need to be an independent entity.
  • each component may be realized as a module with a plurality of components.
  • each component may be realized by a plurality of modules.
  • Each component may be configured such that a certain component is a part of another component.
  • Each component may be configured such that a part of a certain component overlaps a part of another component.
  • each component and a module that realizes each component may be realized by hardware if necessary. Moreover, each component and the module which implement
  • the program is provided by being recorded on a non-volatile computer-readable recording medium such as a magnetic disk or a semiconductor memory, and is read by the computer when the computer is started up.
  • the read program causes the computer to function as a component in each of the above-described embodiments by controlling the operation of the computer.
  • a plurality of operations are not limited to being executed at different timings. For example, another operation may occur during the execution of a certain operation, or the execution timing of a certain operation and another operation may partially or entirely overlap.
  • each of the embodiments described above it is described that a certain operation becomes a trigger for another operation, but the description does not limit all relationships between the certain operation and other operations. For this reason, when each embodiment is implemented, the relationship between the plurality of operations can be changed within a range that does not hinder the contents.
  • the specific description of each operation of each component does not limit each operation of each component. For this reason, each specific operation
  • movement of each component may be changed in the range which does not cause trouble with respect to a functional, performance, and other characteristic in implementing each embodiment.
  • Anonymization apparatus 101 Anonymization apparatus 110 Record extraction part 120 Anonymity group production

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Data Mining & Analysis (AREA)
  • Medical Informatics (AREA)
  • Computational Linguistics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Mathematical Physics (AREA)
  • Fuzzy Systems (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Description

[規則37.2に基づきISAが決定した発明の名称]　匿名化を実行する情報処理装置、匿名化方法及びプログラムを記録した記録媒体
　本発明は、個人情報等のように、オリジナルな情報内容のままで公開や利用されることが好ましくない情報を匿名化する情報処理装置、匿名化方法、及びそのためのプログラムに関する。
　購買履歴や診療履歴等のように、サービス提供者によって日々ユーザ（利用者）に提供されるサービス活動から生まれるログ情報は、それらのサービス提供者によって、履歴情報として蓄積されている。これらの履歴情報を分析することで、特定の利用者の行動パターンの把握、ある集団が持つ固有の傾向の把握、将来起こり得る事象の予測、及び過去の事象に対する要因分析等が可能である。これらの履歴情報及びその分析結果を利用することで、サービス提供者は、自己の事業の強化や見直しが可能である。よって、履歴情報は、利用価値が非常に高い有益な情報である。ここで、ある集団は、複数の利用者からなる集団である。
　サービス提供者以外の第三者にとっても、このようなサービス提供者が保有する履歴情報は有益である。例えば、その第三者は、係る履歴情報を利用することで、自身では得られなかった情報を手にすることができる。従って、この第三者自身のサービスやマーケティングの強化が可能である。また、サービス提供者自身が、その第三者に対して、履歴情報の分析を依頼する場合や、研究を目的として、係る履歴情報を公開する場合もある。
　上述のように利用価値の高い履歴情報には、その履歴情報の主体にとって他人に知られたくない情報や、第三者に知られるべきでない情報が含まれている場合がある。このような情報は、一般に、センシティブ情報（機微情報：Ｓｅｎｓｉｔｉｖｅ　Ａｔｔｒｉｂｕｔｅ（ＳＡ）、　Ｓｅｎｓｉｔｉｖｅ　Ｖａｌｕｅ）と呼ばれる。例えば、購買履歴の場合は、購入した商品がセンシティブ情報に成り得る。診療情報の場合は、傷病名や、診療行為名がセンシティブ情報である。
　履歴情報には、サービス利用者を一意に識別するユーザ識別子（ユーザＩＤ）と、サービス利用者を特徴付ける複数の属性（属性情報）とが付与されている場合が多い。ユーザ識別子には、氏名、会員番号や被保険者番号などが該当する。サービス利用者を特徴付ける属性には、性別、生年月日、職業、居住エリア、郵便番号などが該当する。サービス提供者は、これらのユーザ識別子と、複数種類の属性と、センシティブ情報とを、一つのレコードとして記録する。そして、サービス提供者は、係るレコードを、該当するユーザ（サービス利用者）がサービスを享受する度に、履歴情報として蓄積する。ユーザ識別子が付与されたままの履歴情報が第三者に提供されると、その第三者はそのユーザ識別子を用いることによってサービス利用者を特定することが可能である。このため、プライバシ侵害の問題が、発生し得る。
　また、複数のレコードによって構成されるデータセットの中から、各レコードに付与されている属性値を１つ以上組み合わせることにより、ある個人を特定できてしまう場合がある。このように個人を特定し得る属性は、準識別子（Ｑｕａｓｉ－Ｉｄｅｎｔｉｆｉｅｒ）と呼ばれる。即ち、例えユーザ識別子を取り除いた履歴情報であっても、準識別子に基づいてある個人を特定可能であれば、プライバシ侵害が発生し得る。
　但し、その一方で、全ての準識別子を履歴情報から取り除いてしまうと、統計的な分析が不可能になる。従って、その履歴情報の本来の有益性が大幅に失われる。例えば、その統計的な分析とは、その全ての準識別子取り除かれた履歴情報に対する分析である。具体的には、ある年代が好んで購入する傾向にある製品の分析や、ある地域に居住する住民が罹患する特有の傷病の分析等が行えない。
　このような特性を有する履歴情報のデータセットを、本来の有用性を保ちながら、プライバシを保護した形態に変換する手法として、匿名化（匿名化技術：Ａｎｏｎｙｍｉｚａｔｉｏｎ）が知られている。
　例えば、特許文献1は、入力されたデータを属性毎に準識別子或いは重要情報に分類し、全てのその準識別子における“ｋ－匿名性”と全てのその重要情報における“ｌ－多様性”とを満たすデータセットを出力する技術を開示する。
　非特許文献１は、最もよく知られた匿名性指標であるｋ－匿名性を提案する。匿名化対象のデータセットに、係るｋ－匿名性を充足させる手法は、“ｋ－匿名化”と呼ばれる。このｋ－匿名化では、同じ準識別子を有するレコードがその匿名化対象のデータセットの中に少なくともｋ個以上存在するように、対象となる準識別子を変換する処理が行われる。この変換処理としては、一般化、切り落とし等の方式が知られている。係る一般化において、元の詳細な情報は、抽象化された情報に変換される。
　非特許文献２は、係るｋ－匿名性を発展させた匿名性指標の１つである、ｌ－多様性を提案する。匿名化対象のデータセットに、係るｌ－多様性を充足させる手法は、“ｌ－多様化”と呼ばれる。このｌ－多様化では、同じ準識別子を持つ複数のレコードに、少なくともｌ種類以上の異なるセンシティブ情報が含まれるように、対象となる準識別子を変換する処理が行われる。
　ここで、ｋ－匿名化は、準識別子と関連付けされるレコードの数がｋ個以上になることを保証する。また、ｌ－多様化は、準識別子と関連付けされるセンシティブ情報の種類がｌ種類以上になることを保証する。
　上述したｋ－匿名化や、ｌ－多様化では、同一のユーザ識別子を持つ複数のレコードが存在する場合に、それらレコード間の順序や関係等の、互いに異なる事象間の対応関係（換言すれば、特徴、遷移、プロパティ：以下、本願では「対応関係」と称する）が考慮されていない。そのため、係るレコード間の性質が曖昧になったり、失われたりしてしまう場合がある。
　また、同一のユーザ識別子を持つ複数のレコードを対象とした、時間軸上における順序を保存した匿名化方法として、移動軌跡に対する匿名化技術が知られている。
　非特許文献３は、位置情報が時系列に関連付けされた移動軌跡を匿名化する技術に関する論文である。より具体的に、非特許文献３に記載された匿名化技術は、係る移動軌跡の始点から終点までを一連のシーケンスとみなして、一貫したｋ－匿名性を保証する匿名化技術である。この移動軌跡の匿名化技術では、地理的に類似するｋ個以上の移動軌跡を束ねたチューブ状の匿名移動軌跡が生成される。移動軌跡の匿名化技術では、匿名性の制約の中で、地理的な類似性を最大化した匿名移動軌跡が生成される。
　非特許文献３に代表される移動軌跡の匿名化方式では、同一のユーザ識別子を与えられたレコード間に存在する性質のうち、特に、時系列な順序関係が保たれる。
特開２０１２－００３４４０号公報
Ｌ．Ｓｗｅｅｎｅｙ，"ｋ－ａｎｏｎｙｍｉｔｙ：ａ　ｍｏｄｅｌ　ｆｏｒ　ｐｒｏｔｅｃｔｉｎｇ　ｐｒｉｖａｃｙ"，　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｊｏｕｒｎａｌ　ｏｎ　Ｕｎｃｅｒｔａｉｎｔｙ，　Ｆｕｚｚｉｎｅｓｓ　ａｎｄ　Ｋｎｏｗｌｅｄｇｅ－ｂａｓｅｄ　Ｓｙｓｔｅｍｓ，１０（５），ｐｐ．５５５－５７０，２００２． Ａ．Ｍａｃｈａｎａｖａｊｊｈａｌａ，　Ｄ．Ｋｉｆｅｒ，　Ｊ．Ｇｅｈｒｋｅ　ａｎｄ　Ｍ．Ｖｅｎｋｉｔａｓｕｂｒａｍａｎｉａｍ，　"ｌ－Ｄｉｖｅｒｓｉｔｙ：　Ｐｒｉｖａｃｙ　Ｂｅｙｏｎｄ　ｋ－Ａｎｏｎｙｍｉｔｙ"，　ＡＣＭ　Ｔｒａｎｓａｃｔｉｏｎｓ　ｏｎ　Ｋｎｏｗｌｅｄｇｅ　Ｄｉｓｃｏｖｅｒｙ　ｆｒｏｍ　Ｄａｔａ，Ｖｏｌｕｍｅ１　Ｉｓｓｕｅ１，Ｍａｒｃｈ　２００７　Ａｒｔｉｃｌｅ　Ｎｏ．　３． Ｏ．Ａｂｕｌ，　Ｆ．Ｂｏｎｃｈｉ　ａｎｄ　Ｍ．Ｎａｎｎｉ、"Ｎｅｖｅｒ　Ｗａｌｋ　Ａｌｏｎｅ：　Ｕｎｃｅｒｔａｉｎｔｙ　ｆｏｒ　Ａｎｏｎｙｍｉｔｙ　ｉｎ　Ｍｏｖｉｎｇ　Ｏｂｊｅｃｔｓ　Ｄａｔａｂａｓｅｓ．"　Ｉｎ　Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　２４ｔｈ　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｄａｔａ　Ｅｎｇｉｎｅｅｒｉｎｇ，　ｐｐ．３７６－３８５，２００８．
　しかしながら、上述した特許文献及び非特許文献に記載された技術においては、対応関係の情報を含むデータセットがｌ－多様性を充足するように匿名化を施された場合、その情報が曖昧になりすぎる場合があるという問題点がある。ここで、「対応関係」の情報とは、「同一の固有識別子（ユーザ識別子）を有するレコード間の対応関係」の情報である。ここで、そのデータセットは、例えば、同一の固有識別子をそれぞれが有するレコードの組を、１以上含む、複数のレコードから構成されるデータセットである。
　そのデータセットにおいて、例えば、それらのレコードの一部からなるレコード群毎にｌ－多様性が定められる。そして、それらのｌ－多様性を充足するようにデータセットが匿名化される。そうした場合に、その匿名化されたデータセットに含まれる「同一の固有識別子を有するレコード間の対応関係」が、元のデータセットのそれに比べて曖昧になりすぎる場合がある。
　その情報（「対応関係」の情報）が曖昧になりすぎる場合がある理由は、以下のとおりである。
　上述の特許文献及び非特許文献に記載の技術は、「同一の固有識別子を有するレコード間の対応関係」の情報を、維持するために必要な考慮を払っていない。そのため、それらのレコード群毎に定められたｌ－多様性を充足するように、データセットが匿名化された場合、元のデータセットには存在しなかった、余分な「同一の固有識別子を有するレコード間の対応関係」が付加される場合がある。
　特許文献１では、「同一の固有識別子を有するレコード間の対応関係」の情報を考慮していない。
　非特許文献１は、ｌ－多様性に関する技術を開示していない。
　非特許文献２では、地理的な類似性を最大化した匿名移動軌跡を構築することを主たる目的としており、必ずしも、各レコード間の性質（対応関係）が維持されるわけではない。また、非特許文献３では、ｌ－多様性の匿名性の保証には対応していない。
　次に、具体的な例を説明する。
　図２８は、匿名化前データセットの一例を示す図である。図２８に示す匿名化前データセットは、複数の第１のレコードと複数の第２のレコードとを含む。その第１のレコードは、固有識別子と診療月、年齢及び病名の属性とを含み、診療月の属性値が「４月」である。その第２のレコードは、固有識別子と診療月、年齢及び病名の属性とを含み、診療月の属性値が「５月」である。
　また、図２８に示す匿名化前データセットは、同一の固有識別子を有する第１のレコードと第２のレコードとの間の対応関係の、情報を含んでいる。例えば、その対応関係は、固有識別子が「１」の第１のレコード及び第２のレコードのそれぞれに含まれる病名の属性値の「Ｕ」と「Ａ」との対応関係（以後、「Ｕ－Ａ」と表記する）である。
　図２９は、図２８に示す匿名化前データセットが匿名化された、匿名化後データセットの一例を示す図である。図２９に示す匿名化後データセットは、その匿名化前データセットの第１のレコードからなる第１のレコード群が、ｌ＝３でｌ－多様性を充足するように匿名化されている。また、匿名化後データセットは、その匿名化前データセットの第２のレコードからなる第２のレコード群が、ｌ＝２でｌ－多様性を充足するように匿名化されている。
　例えば、図２８に示す匿名化前データセットにおいて、固有識別子が「６」、「７」及び「９」のレコードは、図２９に示す匿名化後データセットにおいて、固有識別子に替えて同一のグループ識別子である「１０１」を付与されている。また、同一のグループ識別子を持つレコードは、準識別子である属性の属性値が同一の値に汎化されている。
　図２８に示す匿名化前のデータセットにおいて、固有識別子が「６」、「７」及び「９」に対応する「同一の固有識別子を有するレコード間の対応関係」は、「Ｙ－Ｅ」、「Ｘ－Ｄ」及び「Ｗ－Ｃ」である。
　一方、図２９に示す匿名化後データセットにおいて、グループ識別子が「１０１」に対応する「同一の固有識別子を有するレコード間の対応関係」は、「Ｙ－Ｅ」、「Ｙ－Ｄ」、「Ｙ－Ｃ」、「Ｘ－Ｅ」、「Ｘ－Ｄ」、「Ｘ－Ｃ」、「Ｗ－Ｅ」、「Ｗ－Ｄ」及び「Ｗ－Ｃ」である。即ち、図２９に示す匿名化後データセットは、図２８に示す匿名化前のデータセットに存在しない「同一の固有識別子を有するレコード間の対応関係」である、「Ｙ－Ｃ」及び「Ｗ－Ｅ」が余分に付加されてしまっている。
　以上が、「同一の固有識別子を有するレコード間の対応関係」の情報が曖昧になりすぎるという問題の具体例である。
　本発明の目的は、上述した問題点を解決する情報処理装置、匿名化方法、及びそのためのプログラムを提供することにある。
　本発明の情報処理装置は、固有識別子及び少なくとも１つの第１の属性を含む第１のレコードと、前記固有識別子と同一の固有識別子及び少なくとも１つの第２の属性を含む第２のレコードと、の組が複数件含まれるデータセットの中から、複数の前記第２のレコードを含む第２のレコード群において第２のｌ－多様性を充足可能であること、前記第２のレコード群に含まれる第２のレコードと組を成す前記第１のレコードから成る前記第１のレコード群において第１のｌ－多様性を充足可能であること、及び前記第１のレコードと前記第２のレコードとの間に存在する対応関係の抽象度に基づいて、複数の前記第２のレコードを抽出するレコード抽出手段と、前記レコード抽出手段によって抽出された前記第２のレコードからなる匿名グループデータセットを、前記匿名グループデータセットにおいて前記第２のｌ－多様性を充足可能であり、かつ前記匿名グループデータセットに含まれる第２のレコードと組を成す前記第１のレコードからなる第１のレコード群において前記第１のｌ－多様性を充足可能であるように、生成し、出力する匿名グループ生成手段と、を備える。
　本発明の匿名化方法は、コンピュータが、固有識別子及び少なくとも１つの第１の属性を含む第１のレコードと、前記固有識別子と同一の固有識別子及び少なくとも１つの第２の属性を含む第２のレコードと、の組が複数件含まれるデータセットの中から、前記第２のレコードからなる第２のレコード群において第２のｌ－多様性を充足可能であること、前記第２のレコード群に含まれる第２のレコードと組を成す前記第１のレコードから成る前記第１のレコード群において第１のｌ－多様性を充足可能であること、及び前記第１のレコードと前記第２のレコードとの間に存在する対応関係の抽象度に基づいて、複数の前記第２のレコードを抽出し、前記抽出された前記第２のレコードからなる匿名グループデータセットを、前記匿名グループデータセットにおいて前記第２のｌ－多様性を充足可能であり、かつ前記匿名グループデータセットに含まれる第２のレコードと組を成す前記第１のレコードからなる第１のレコード群において前記第１のｌ－多様性を充足可能であるように、生成し、出力する。
　本発明のコンピュータ読み取り可能な不揮発性記録媒体に記録されたプログラムは、固有識別子及び少なくとも１つの第１の属性を含む第１のレコードと、前記固有識別子と同一の固有識別子及び少なくとも１つの第２の属性を含む第２のレコードと、の組が複数件含まれるデータセットの中から、前記第２のレコードからなる第２のレコード群において第２のｌ－多様性を充足可能であること、前記第２のレコード群に含まれる第２のレコードと組を成す前記第１のレコードから成る前記第１のレコード群において第１のｌ－多様性を充足可能であること、及び前記第１のレコードと前記第２のレコードとの間に存在する対応関係の抽象度に基づいて、複数の前記第２のレコードを抽出する処理と、前記抽出された前記第２のレコードからなる匿名グループデータセットを、前記匿名グループデータセットにおいて前記第２のｌ－多様性を充足可能であり、かつ前記匿名グループデータセットに含まれる第２のレコードと組を成す前記第１のレコードからなる第１のレコード群において前記第１のｌ－多様性を充足可能であるように、生成し、出力する処理と、をコンピュータに実行させる。
　本発明は、「同一の固有識別子（ユーザ識別子）を有するレコード間の対応関係」の情報を含むデータセットがｌ－多様性を充足するように匿名化を施された場合に、その対応関係の情報が曖昧になりすぎることを防止することが可能になるという効果がある。
図１は、第１の実施形態に係る匿名化装置の構成を示すブロック図である。 図２は、第１の実施形態に係る匿名化装置を含むシステムの構成を示すブロック図である。 図３は、データセットの一例を示す図である。 図４は、ソートされた前提レコード分の一例を示す図である。 図５は、ソートされた結論レコード分の一例を示す図である。 図６は、前提匿名グループデータセットの一例を示す図である。 図７は、結論匿名グループデータセットの一例を示す図である。 図８は、抽出レコード群の一例を示す図である。 図９は、結論レコードを纏めた抽出結論レコード群の一例を表す図である。 図１０は、共通部分レコード群の一例を示す図である。 図１１は、前提属性値が同一の前提レコード毎に結論レコードを纏めた共通部分結論レコード群の一例を表す図である。 図１２は、結論ソートレコード群の一例を示す図である。 図１３は、結論属性値が同一の結論レコードを纏めた結論ソート結論レコード群の一例を表す図である。 図１４は、匿名グループ結論レコード群の一例を示す図である。 図１５は、グループ識別子毎に結論レコードを纏めた、匿名グループ結論レコード群の一例を表す図である。 図１６は、本実施形態に係る匿名化装置を実現するコンピュータのハードウェア構成を示す図である。 図１７は、本実施形態の動作を示すフローチャートである。 図１８は、残レコードの一例を示す図である。 図１９は、結論匿名グループの一例を示す図である。 図２０は、結論匿名グループの一例を示す図である。 図２１は、結論匿名グループの一例を示す図である。 図２２は、第２の実施形態に係る匿名化装置２００の構成を示すブロック図である。 図２３は、遷移ベクトルの組み合わせの一例を示す図である。 図２４は、２つの遷移ベクトルの組み合わせの一例を示す図である。 図２５は、遷移ベクトル間の類似度が「０」か否かを示す図である。 図２６は、利用済みの遷移ベクトルを除いた遷移ベクトルの一例を示す図である。 図２７は、遷移ベクトル間の組み合わせを示す図である。 図２８は、匿名化前データセットの一例を示す図である。 図２９は、匿名化後データセットの一例を示す図である。
　本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の構成要素には同様の符号を付与し、適宜説明を省略する。
　＜＜＜第１の実施形態＞＞＞
　図１は、本発明の第１の実施形態に係る匿名化装置１００の構成を示すブロック図である。尚、匿名化装置（匿名化装置１００）は、一般的に情報処理装置とも呼ばれる。
　図１に示すように、本実施形態に係る匿名化装置１００は、レコード抽出部１１０と、匿名グループ生成部１２０とを含む。
　図２は、本実施形態に係る匿名化装置１００を含む匿名化システム１０１の構成を示すブロック図である。
　図２に示すように、匿名化システム１０１は、匿名化装置１００と履歴情報記憶部５００と匿名化情報記憶部６００とを含む。
　まず、匿名化システム１０１における、匿名化装置１００の動作の概要を説明する。
　＝＝＝履歴情報記憶部５００＝＝＝
　履歴情報記憶部５００は、図３に示すような、データセット５１０を記憶する。図３に示すように、例えば、データセット５１０は、固有識別子と、診療月、年齢及び病名の属性とを含む、複数のレコードから成る履歴情報である。また、データセット５１０は、同一の固有識別子を有する、「診療月」の属性値が「４月」のレコード（前提レコード）と「診療月」の属性値が「５月」のレコード（結論レコード）との間の対応関係の情報を含んでいる。
　前提レコードと結論レコードとは、同じ属性を含んでいなくてもよい。例えば、その前提レコードが固有識別子及びあるセンシティブ属性のみを含み、その結論レコードが固有識別子と他のセンシティブ属性のみを含む、データセットであってもよい。
　図４及び図５は、以下の説明の便宜上、図３に示すデータセット５１０を前提レコード（第１のレコード）分と結論レコード（第２のレコード）分とに分けて示す図である。即ち、図４及び図５に示す前提レコード分５２１及び結論レコード分５２２は、匿名化装置１００が生成するものではなく、説明のために便宜的に示す図である。図４は、前提レコードから成る、前提レコード分５２１を示す。図５は、結論レコードから成る、結論レコード分５２２を示す。
　以下の実施形態では、結論レコード分５２２を、前提レコード分５２１を参照しながら、前提レコード分５２１との間に存在する対応関係を保つように匿名化する方法について説明する。
　＝＝＝匿名化装置１００＝＝＝
　匿名化装置１００は、データセット５１０の中から、複数の結論レコード（結論レコード群、第１のレコード群とも呼ばれる）を抽出し、更に対応関係の抽象度に基づいて、その結論レコード群から複数の結論レコードを抽出する。ここで、その結論レコード群を構成するその複数の結論レコードは、その結論レコード群において第２のｌ－多様性を充足可能な複数の結論レコードであり、かつ、それらの結論レコードのそれぞれと組を成す複数の前提レコード（前提レコード群、第１のレコード群とも呼ばれる）において第１のｌ－多様性を充足可能であるような、複数の結論レコードである。
　次に、匿名化装置１００は、それらの抽出された複数の結論レコードから、結論レコードからなる結論匿名グループデータセット（匿名グループデータセットとも呼ばれる）を生成し、出力する。ここで、その結論レコードは、第２のｌ－多様性を充足し、かつ『それらの抽出された複数の結論レコード』との対応関係がある第１のレコード群に対して第１のｌ－多様性を充足する匿名化が可能なレコードである。
　また、匿名化装置１００は、前提匿名グループデータセットに含まれる前提レコードのそれぞれ及び匿名グループデータセットに含まれる結論レコードのそれぞれに対して、それらの前提レコードと結論レコードとの対応関係を付与するようにしてもよい。ここで、その前提匿名グループデータセットは、結論匿名グループデータセットに含まれる結論レコードのそれぞれと組を成す複数の前提レコードが匿名化された、データセットである。
　＝＝＝匿名化情報記憶部６００＝＝＝
　匿名化情報記憶部６００は、匿名化装置１００が出力する、前提匿名グループデータセット及び結論匿名グループデータセットを含む、匿名グループデータセットを記憶する。
　図６は、前提匿名グループデータセット６１１の一例を示す図である。図７は、結論匿名グループデータセット６１２の一例を示す図である。
　図６及び図７に示すように、前提匿名グループデータセット６１１及び結論匿名グループデータセット６１２のレコードのそれぞれは、固有識別子に替えて、グループ識別子及び関連識別子を含む。尚、図６において、点線枠で囲ったその固有識別子は、前提レコード分５２１のレコードのそれぞれと、前提匿名グループデータセット６１１のレコードのそれぞれとの関連を判りやすくするために記載したものである。従って、その固有識別子は、前提匿名グループデータセット６１１には含まれない。尚、図７において点線枠で囲ったその固有識別子も、同様に結論匿名グループデータセット６１２には含まれない。
　そのグループ識別子は、ある前提匿名グループに含まれる複数の前提レコードに同一に付与された識別子である。同様に、そのグループ識別子は、ある結論匿名グループに含まれる複数の結論レコードに同一に付与された識別子である。関連識別子は、同一の固有識別子を有する他方のレコードの、グループ識別子である。即ち、同一のそのグループ識別子に対応する複数の前提レコードは、一つの前提匿名グループを形成する。同様に、同一のグループ識別子に対応する複数の結論レコードは、一つの結論匿名グループを形成する。
　尚、前提匿名グループデータセット６１１及び結論匿名グループデータセット６１２のレコードのそれぞれは、これらの固有識別子を含んでもよい。その場合、匿名化情報記憶部６００は、外部からの前提匿名グループデータセット６１１及び結論匿名グループデータセット６１２の取得要求に対して、それらの固有識別子を削除して出力するようにしてもよい。
　以上が、匿名化装置１００の動作の概要の説明である。
　次に、匿名化装置１００が備える各構成要素について、詳細に説明する。尚、図１に示す構成要素は、ハードウェア単位の構成要素でも、コンピュータ装置の機能単位に分割した構成要素でもよい。ここでは、図１に示す構成要素は、コンピュータ装置の機能単位に分割した構成要素として説明する。
　＝＝＝レコード抽出部１１０＝＝＝
　レコード抽出部１１０は、遷移ベクトルを生成する。例えば、その遷移ベクトルは、前提レコードに含まれる第１の属性（以下、前提属性と呼ぶ）の属性値毎の、結論レコードに含まれる第２の属性（以下、結論属性と呼ぶ）の各属性値が、その前提レコードと組を成す結論レコードに出現する頻度を要素とするベクトルである。換言すると、その遷移ベクトルは、前提属性の属性値毎の、結論属性の各属性値の出現頻度を要素とするベクトルである。ここで、前提属性は、前提レコードに含まれる第１の属性である。また、結論属性は、結論レコードに含まれる第２の属性である。その出現頻度は、結論属性の各属性値が、その前提レコードと組みを成す、その結論レコードに出現する頻度前提レコードと組みをなす。
　具体的には、レコード抽出部１１０は、図４に示す前提レコード分５２１及び図５に示す結論レコード分５２２を参照して次のように遷移ベクトルを算出する。
　前提レコードに含まれる前提属性は、図４に示す前提レコード分５２１の前提レコードの、病名の属性である。また、結論レコードに含まれる結論属性は、図５に示す結論レコード分５２２のレコードの、病名の属性である。
　例えば、病名の属性値が「Ｕ」のその前提レコードは、固有識別子が「１」、「１３」、「２７」、「３９」、「１４」、「２６」、「２８」、「２９」、「３８」、「１１」及び「１２」の前提レコード群のレコードである。これらの前提レコードと組を成す結論レコードは、同一の固有識別子「１」、「１３」、「２７」、「３９」、「１４」、「２６」、「２８」、「２９」、「３８」、「１１」及び「１２」を有する結論レコードである。
　次に、レコード抽出部１１０は、これらの結論レコードに含まれる病名の属性として出現する属性値の出現頻度を算出する。ここでその属性値は、４回出現の「Ａ」、３回出現の「Ｂ」、２回出現の「Ｃ」及び２回出現の「Ｄ」である。従って、それぞれのその出現頻度は、「Ａ」が０．３７（＝４÷１１）、「Ｂ」が０．２８（＝３÷１１）、「Ｃ」が０．１９（＝２÷１１）及び「Ｄ」が０．１９（＝２÷１１）である。また、その結論レコードの病名の属性の属性値である「Ｅ」及び「Ｆ」は、病名の属性値が「Ｕ」の前提レコードと組を成す結論レコードには出現しない。従って、「Ｅ」及び「Ｆ」のそれぞれの出現頻度は、いずれも「０」である。
　以上より、レコード抽出部１１０は、その属性値の「Ｕ」についての遷移ベクトルｔｒＵを、以下のとおり生成する。
　ｔｒＵ＝（０．３７，０．２８，０．１９，０．１９，０．００，０．００）Ｔ
　同様にして、レコード抽出部１１０は、属性値の「Ｖ」、「Ｗ」、「Ｘ」、「Ｙ」及び「Ｚ」のそれぞれの、遷移ベクトルｔｒＶ、ｔｒＷ、ｔｒＸ、ｔｒＹ及びｔｒＺを以下のとおり生成する。
　ｔｒＶ＝（０．２２，０．４４，０．２２，０．１１，０．００，０．００）Ｔ
　ｔｒＷ＝（０．２２，０．３３，０．３３，０．１１，０．００，０．００）Ｔ
　ｔｒＸ＝（０．２０，０．２０，０．００，０．２０，０．４０，０．００）Ｔ
　ｔｒＹ＝（０．００，０．００，０．００，０．６７，０．３３，０．００）Ｔ
　ｔｒＺ＝（０．００，０．００，０．００，０．００，０．００，１．００）Ｔ
　次に、レコード抽出部１１０は、これらの遷移ベクトル間の類似度を算出する。レコード抽出部１１０は、それらの遷移ベクトルのいずれか２つの遷移ベクトルが、結論レコード群において第２のｌ－多様性を充足可能である場合、それらの遷移ベクトル同士の類似度として、それらの遷移ベクトルの内積を算出する。尚、レコード抽出部１１０は、ベクトル間の類似性を表現する類似度、ベクトル間の非類似性を表現する距離であれば、内積に限らず、例えばユークリッド距離などを距離として算出してもよい。また、レコード抽出部１１０は、それらの遷移ベクトルのいずれか２つの遷移ベクトルが、結論レコード群において第２のｌ－多様性を充足可能でない場合、それらの遷移ベクトル同士の類似度を「０」とする。
　ここで、「２つの遷移ベクトルが、結論レコード群において第２のｌ－多様性を充足可能」とは、２つの遷移ベクトルそれぞれに対応する結論レコードの、結論属性の結論属性値が、第２のｌ－多様性のｌ種類（例えば、２種類）以上、共起していることである。即ちそれは、２つの遷移ベクトルそれぞれに対応する結論レコードのそれぞれ同士で同一である、結論属性の結論属性値が、第２のｌ－多様性のｌ種類（例えば、２種類）以上、存在することである。
　具体的には、レコード抽出部１１０は、遷移ベクトルｔｒＵと遷移ベクトルｔｒＶとの類似度ｓｉｍ（Ｕ、Ｖ）を、遷移ベクトルｔｒＵと遷移ベクトルｔｒＶの内積である「０．２６」と算出する。同様に、レコード抽出部１１０は、他の類似度を以下のとおり算出する。
　ｓｉｍ（Ｕ、Ｗ）＝０．２５
　ｓｉｍ（Ｕ、Ｘ）＝０．１６
　ｓｉｍ（Ｕ、Ｙ）＝０．１２
　ｓｉｍ（Ｕ、Ｚ）＝０．００
　ｓｉｍ（Ｖ、Ｗ）＝０．２８
　ｓｉｍ（Ｖ、Ｘ）＝０．１６
　ｓｉｍ（Ｖ、Ｙ）＝０．０７
　ｓｉｍ（Ｖ、Ｚ）＝０．００
　ｓｉｍ（Ｗ、Ｘ）＝０．１３
　ｓｉｍ（Ｗ、Ｙ）＝０．０７
　ｓｉｍ（Ｗ、Ｚ）＝０．００
　ｓｉｍ（Ｘ、Ｙ）＝０．２７
　ｓｉｍ（Ｘ、Ｚ）＝０．００
　ｓｉｍ（Ｙ、Ｚ）＝０．００
　次に、レコード抽出部１１０は、類似度の大きい遷移ベクトルの順（即ち抽象度が小さい順）に、第１のｌ－多様性の種類数のその遷移ベクトルに対応する、前提属性値を含む前提レコードと、その前提レコードと組を成す結論レコードと、を抽出する。尚、「第１のｌ－多様性の種類数のその遷移ベクトルに対応する」は、「対応関係を持つ前提レコード群（第２のレコードと組を成す第１のレコードから成る、第１のレコード群）において第１のｌ－多様性を充足可能である」と言われることもある。
　また、レコード抽出部１１０は、上述の結論レコードのみを抽出するようにしてもよい。この場合、レコード抽出部１１０は、以後の処理において、抽出した結論レコードの固有識別子に基づいて、データセット５１０の前提レコードを参照するようにしてもよい。
　具体的には、レコード抽出部１１０は、以下のようにして前提レコードと結論レコードとの組を抽出する。その抽出される前提レコードと結論レコードとの組は、抽象度が小さくなるように抽出されればよく、その順序はいかなる順序であってもよい。
　ここで、前提レコードと結論レコードとの組の抽出の一例を示す。「Ｕ」、「Ｖ」、「Ｗ」、「Ｘ」及び「Ｙ」のそれぞれの前提属性値に対応する、その類似度の合計のそれぞれは、「０．８０」、「０．７８」、「０．７４」、「０．７２」及び「０．５４」である。そこで、レコード抽出部１１０は、その類似度の合計が最大である、「Ｕ」の前提属性値に対応する遷移ベクトルｔｒＵ、を選択する。次に、レコード抽出部１１０は、遷移ベクトルｔｒＵとのその類似度が大きい順に、遷移ベクトルｔｒＶ及び遷移ベクトルｔｒＷを選択する。
　これらに対応する前提レコードと、その前提レコードと組を成す結論レコードとは、固有識別子が「１」、「１３」、「２７」、「３９」、「１４」、「２６」、「２８」、「２９」、「３８」、「１１」、「１２」、「２」、「２５」、「１０」、「１５」、「１６」、「３０」、「２４」、「３１」、「３」、「３２」、「３７」、「４」、「２２」、「２３」、「９」、「１７」、「３６」及び「３３」のレコードである。レコード抽出部１１０は、これらのレコードを抽出する。
　図８は、上述のようにしてレコード抽出部１１０が抽出した、抽出レコード群５３０の一例を示す図である。図８は、組を成す前提レコード及び結論レコードのそれぞれが抽出前提レコード群５３１及び抽出結論レコード群５３２のそれぞれに含まれるレコードとして、抽出レコード群５３０を示す図である。
　図９は、図８に示す抽出レコード群５３０について、前提属性値が同一の前提レコード毎に、結論レコードを纏めた抽出結論レコード群５３２の一例を表す図である。尚、図９において、結論レコード５３２１の上段に固有識別子（例えば、「１」）を記し、下段に前提属性値と結論属性値と（例えば、「Ｕ－Ａ」）を記す。以降の図１１、図１３、図１５、図１８、図１９、図２０及び図２１も同様である。
　図９に示すように、例えば、前提属性値が「Ｕ」の前提レコードに対応する、結論レコードは、固有識別子が「１」、「１３」、「２７」、「３９」、「１４」、「２６」、「２８」、「２９」、「３８」、「１１」、「１２」のレコードである。
　＝＝＝匿名グループ生成部１２０＝＝＝
　匿名グループ生成部１２０は、抽出レコード群５３０から、前提属性値が同一の前提レコード毎に、前提レコードと結論レコードとの組を抽出する。その抽出の際、匿名グループ生成部１２０は、その前提属性値が同一の前提レコードに対応する、結論属性値が同一の結論レコードの数が共通になるように、その前提レコードとその結論レコードとの組を抽出する。即ち、匿名グループ生成部１２０は、その前提属性値が同一の前提レコード毎に対応する、その結論属性値が同一のその結論レコードの数の最小値の分だけ、前提レコードと結論レコードとの組を抽出する。
　また、匿名グループ生成部１２０は、上述の結論レコードのみを抽出するようにしてもよい。この場合、匿名グループ生成部１２０は、以後の処理において、抽出した結論レコードの固有識別子に基づいて、データセット５１０の前提レコードを参照するようにしてもよい。
　例えば、匿名グループ生成部１２０は、前提属性値が「Ｕ」、「Ｖ」及び「Ｗ」それぞれの結論属性値が「Ａ」の結論レコードの数を比較して、最小値が２であると判定する。
　その最小値が２であることに基づいて、匿名グループ生成部１２０は、前提属性値が同一の前提レコード毎に、前提レコードと結論レコードとの組を２個ずつ抽出する。例えば、前提属性値が「Ｕ」である前提レコードと、それらに対する結論属性値が「Ａ」である結論レコードとの組は、固有識別子が「１」、「１３」、「２７」及び「３９」の、前提レコードと結論レコードとの組である。そこで、匿名グループ生成部１２０は、例えば、固有識別子が「１」及び「１３」の、前提レコードと結論レコードとの組を抽出する。
　図１０は、組を成す前提レコード及び結論レコードのそれぞれを共通部分前提レコード群５４１及び共通部分結論レコード群５４２のそれぞれに含まれるレコードとして、共通部分レコード群５４０の一例を示す図である。共通部分レコード群５４０は、図８に示す抽出レコード群５３０から抽出された、前提レコードと結論レコードとの組から成る。ここで、その前提レコードと結論レコードとは、前提属性値が同一の前提レコード毎に対応する結論レコード群が共通になるように抽出される。即ち、共通部分レコード群５４０は、前述のように抽出された前提レコード及び結論レコードのそれぞれを、共通部分前提レコード群５４１及び共通部分結論レコード群５４２として含む。
　図１１は、図１０に示す共通部分レコード群５４０について、前提属性値が同一の前提レコード毎に、結論レコードを纏めた共通部分結論レコード群５４２の一例を表す図である。
　図１１に示すように、例えば、前提属性値が「Ｕ」、「Ｖ」及び「Ｗ」のそれぞれの前提レコードに対応する、結論属性値が「Ａ」の結論レコードの数は、いずれも２つである。
　図１２は、図１０の共通部分レコード群５４０を、共通部分前提レコード群５４１の結論属性でソートした状態で、結論ソートレコード群５５０として示す図である。図１２に示す結論ソートレコード群５５０は、匿名化装置１００が生成するものではなく、説明の便宜上示す図である。図１２は、結論属性でソートされた状態の、組を成す前提レコードと結論レコードとの組のそれぞれが結論ソート前提レコード群５５１及び結論ソート結論レコード群５５２のそれぞれに含まれるレコードとして、結論ソートレコード群５５０（共通部分レコード群５４０）を示す。
　図１３は、図１０に示す共通部分結論レコード群５４２を、図１２に示す結論ソート結論レコード群５５２にソートしたように、結論属性値が同一の結論レコードを纏めた結論ソート結論レコード群５５２（共通部分結論レコード群５４２）の一例を表す図である。
　図１３に示すように、例えば、結論属性値が「Ａ」の結論レコードは、前提属性値が「Ｕ」、「Ｖ」及び「Ｗ」のそれぞれの前提レコードに対応する２組の組み合わせ（以後、組み合わせＣと呼ぶ）を形成する。それらの２組の組み合わせＣは、固有識別子が、例えば「１」、「２」及び「３２」の組み合わせと、「１３」、「２５」及び「３７」の組み合わせとである。尚、組み合わせＣは、前提属性値が「Ｕ」、「Ｖ」及び「Ｗ」のそれぞれの前提レコードに対応する組み合わせであれば、任意の組み合わせであってよい。即ち、組み合わせＣは、第１のｌ－多様性を充足する前提レコードに対応する組み合わせである。
　次に、匿名グループ生成部１２０は、共通部分結論レコード群５４２を利用して、第２のｌ－多様性を満たす結論匿名グループにグループ分けされた結論レコードから成る、匿名グループ結論レコード群５６２を生成する。
　例えば、匿名グループ生成部１２０は、結論ソート結論レコード群５５２から、結論属性値が「Ｂ」の組み合わせＣと結論属性値が「Ａ」の組み合わせＣとを選択して結論匿名グループを生成し、これにグループ識別子（例えば、「２０１」）を付与する。この際、匿名グループ生成部１２０は、組み合わせＣの残数が結論属性値毎にできるだけ均一になるように、組み合わせＣを選択してもよい。
　図１４は、共通部分結論レコード群５４２を利用して生成された、匿名グループ結論レコード群５６２の一例を示す図である。尚、図中の点線枠で囲った前提レコード群は、結論レコードと前提レコードとの関連を判りやすくするために記載したものであり、匿名グループ結論レコード群５６２には含まれない。
　図１５は、図１４に示す匿名グループ結論レコード群５６２について、グループ識別子毎に結論レコードを纏めた、匿名グループ結論レコード群５６２の一例を表す図である。
　次に、匿名グループ生成部１２０は、匿名グループ結論レコード群５６２の各グループ（グループ識別子が同一の結論レコードの集合）毎に、結論属性以外の準識別子の属性値（ここでは、年齢の属性値）を汎化（同一の値に変換）し、図７に示す結論匿名グループデータセット６１２を生成し、結論匿名グループデータセット（第２の匿名グループデータセット）として出力する。尚、図７に示す結論匿名グループデータセット６１２はグループ識別子でソートされているが、匿名グループ生成部１２０が出力する結論匿名グループデータセットの結論レコードは任意の並び順であってよい。
　尚、匿名グループ生成部１２０は、結論属性以外の準識別子の属性値（ここでは、診療月及び年齢の属性値）を汎化する必要がない場合（例えば、結論レコードがこれらの属性を含んでいない場合）、匿名グループ結論レコード群５６２をそのまま、結論匿名グループデータセットとして出力するようにしてもよい。
　以上は、結論レコードからなる結論匿名グループデータセットの生成についての説明である。
　次に、前提レコードからなる前提匿名グループデータセットの生成について説明する。尚、その前提匿名グループデータセットは、以下の方法に限らず、他の匿名化装置や方法によって生成されていてもよい。
　匿名グループ生成部１２０は、図１０に示す共通部分前提レコード群５４１を利用して、図６に示す前提匿名グループデータセット６１１を生成し、出力する。
　具体的には、匿名グループ生成部１２０は、共通部分前提レコード群５４１の先頭から第１のｌ－多様性の種類数の前提属性値に対応する前提レコードの組み合わせ（例えば、固有識別子が「１」、「２」及び「３２」の前提レコードの組み合わせ）を順次抽出する。そして、匿名グループ生成部１２０は、その抽出した組み合わせのそれぞれに、グループ識別子（例えば、「１０１」）を付与する。即ち、その抽出した組み合わせのそれぞれは、前提匿名グループを形成する。
　次に、匿名グループ生成部１２０は、同一のグループ識別子を付与した前提レコードのそれぞれの、前提属性以外の準識別子の属性値（ここでは、年齢の属性値）を汎化（同一の値に変換）する。
　更に、匿名グループ生成部１２０は、同一の固有識別子を有する結論レコードのグループ識別子を関連識別子とし、図６に示す前提匿名グループデータセット６１１を生成する。
　以上が、前提レコードからなる前提匿名グループデータセットの生成についての説明である。
　以上が、匿名化装置１００の機能単位の各構成要素についての説明である。
　次に、匿名化装置１００のハードウェア単位の構成要素について説明する。
　図１６は、本実施形態に係る匿名化装置１００を実現するコンピュータ７００のハードウェア構成を示す図である。
　図１６に示すように、コンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体であってもよい。
　ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の、全体の動作を制御する。また、ＣＰＵ７０１は、例えば記憶装置７０３に装着された記録媒体７０７から、プログラムやデータを読み込み、読み込んだプログラムやデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図１７に示すフローチャートの動作をコンピュータ７００に実行させるプログラムである。
　そして、ＣＰＵ７０１は、読み込んだプログラムに従って、また読み込んだデータに基づいて、図１に示すレコード抽出部１１０及び匿名グループ生成部１２０として各種の処理を実行する。
　尚、ＣＰＵ７０１は、通信網（不図示）に接続されている外部コンピュータ（不図示）から、記憶部７０２にプログラムやデータをダウンロードするようにしてもよい。
　記憶部７０２は、プログラムやデータを記憶する。記憶部７０２は、データセット５１０、抽出レコード群５３０、共通部分レコード群５４０、匿名グループ結論レコード群５６２、前提匿名グループデータセット６１１及び結論匿名グループデータセット６１２などを記憶してもよい。また、記憶部７０２は、履歴情報記憶部５００及び匿名化情報記憶部６００を含んでよい。
　記憶装置７０３は、例えば、光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク及び半導体メモリであって、記録媒体７０７を含む。記憶装置７０３（記録媒体７０７）は、プログラムをコンピュータ読み取り可能に記憶する。また、記憶装置７０３は、データを記憶してもよい。記憶装置７０３は、記憶部７０２と同様のデータを記憶してもよい。また、記憶装置７０３は、履歴情報記憶部５００及び匿名化情報記憶部６００を含んでよい。
　入力部７０４は、例えばマウスやキーボード、内蔵のキーボタンなどで実現され、入力操作に用いられる。入力部７０４は、マウスやキーボード、内蔵のキーボタンに限らず、例えばタッチパネル、加速度計、ジャイロセンサ、カメラなどでもよい。
　出力部７０５は、例えばディスプレイで実現され、出力を確認するために用いられる。
　通信部７０６は、外部とのインタフェースを実現する。通信部７０６は、レコード抽出部１１０及び匿名グループ生成部１２０の一部として含まれる。
　以上説明したように、図１に示す匿名化装置１００の機能単位のブロックは、図２に示すハードウェア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
　尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給され、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを読み出して実行するようにしてもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納するようにしてもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するプログラム（ソフトウェア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。
　以上が、本実施形態における匿名化装置１００を実現するコンピュータ７００の、ハードウェア単位の各構成要素についての説明である。
　次に本実施形態の動作について、図１～図１７を参照して詳細に説明する。
　図１７は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵによるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
　レコード抽出部１１０は、遷移ベクトルを生成する（Ｓ６０１）。
　次に、レコード抽出部１１０は、遷移ベクトル間の類似度を算出する（Ｓ６０２）。
　次に、レコード抽出部１１０は、類似度の大きい遷移ベクトルの順に、第１のｌ－多様性の種類数のその遷移ベクトルに対応する、前提属性値を含む前提レコードと、その前提レコードと組を成す結論レコードと、を抽出し、抽出レコード群５３０として出力する（Ｓ６０３）。
　次に、匿名グループ生成部１２０は、抽出レコード群５３０から、前提属性値が同一の前提レコード毎に、「それらの前提レコードに対応する、結論属性値が同一の結論レコードの数が共通」になるように、共通部分レコード群５４０として、前提レコードと結論レコードとの組を抽出する（Ｓ６０４）。
　次に、匿名グループ生成部１２０は、共通部分結論レコード群５４２を利用して、第２のｌ－多様性を満たす結論匿名グループにグループ分けされた結論レコードから成る匿名グループ結論レコード群５６２を生成する（Ｓ６０６）。
　次に、匿名グループ生成部１２０は、匿名グループ結論レコード群５６２のグループ毎に、結論属性以外の準識別子の属性値を汎化し、結論匿名グループデータセット６１２を生成し、結論匿名グループとして出力する（Ｓ６０７）。
　次に、匿名グループ生成部１２０は、前提レコードのグループ化を行う。匿名グループ生成部１２０は、共通部分前提レコード群５４１の先頭から第１のｌ－多様性の種類数の前提属性値に対応する前提レコードの組み合わせを順次抽出し、その抽出した組み合わせのそれぞれにグループ識別子を付与する（Ｓ６０８）。
　但し、前提レコードのグループ化は、この方法によらず、様々な方法を用いてよい。例えば、ここでの前提レコードを結論レコードとし、他のレコード群を前提レコードとして、ここでの前提レコードがグループ化されていてもよい。
　次に、匿名グループ生成部１２０は、同一のグループ識別子を付与した前提レコードそれぞれの、前提属性以外の準識別子の属性値を汎化する（Ｓ６０９）。
　次に、匿名グループ生成部１２０は、同一の固有識別子を有する結論レコードのグループ識別子を関連識別子として、図６に示す前提匿名グループデータセット６１１を生成し、出力する（Ｓ６１０）。
　＜＜＜本実施形態の第１の変形例＞＞＞
　匿名グループ生成部１２０は、図１７に示す動作において出力された前提匿名グループデータセット（第１の匿名グループデータセット）と結論匿名グループデータセット（第２の匿名グループデータセット）とに、対応関係の抽象化が発生しないように追加可能な、残レコードを追加する。ここで、その残レコードは、その結論匿名グループデータセットに含まれる結論レコードの有する固有識別子以外の、他の固有識別子を有する結論レコードである。
　図を用いて、具体的な例を説明する。
　図１８は、図５に示す結論レコード分５２２から、図７に示す結論匿名グループデータセット６１２を除いた残レコード５７０の一例を示す図である。
　匿名グループ生成部１２０は、特定の結論匿名グループに対して、以下の条件に合致する、複数の前提レコードと結論レコードとの組を追加する。第一の条件は、その複数の前提レコードが、その特定の結論匿名グループに含まれる結論レコードと組を成す、いずれの前提レコードの前提属性値とも異なる、同一の前提属性値を有することである。第２の条件は、その複数の結論レコードが、その特定の結論匿名グループに含まれる前提レコードのそれぞれの、前提属性値の全ての種類を含むことである。
　例えば、匿名グループ生成部１２０は、図１７に示すステップＳ６０６の次に、特定の結論匿名グループとして、グループ識別子が「２０１」のグループを選択する。
　更に、匿名グループ生成部１２０は、前提属性値が「Ｕ」、「Ｖ」及び「Ｗ」以外の前提属性値に対応し、結論属性値が「Ａ」及び「Ｂ」を有する結論レコードを残レコード５７０から抽出する。
　次に、匿名グループ生成部１２０は、抽出した結論レコードに「２０１」のグループ識別子を付与する。
　次に、匿名グループ生成部１２０は、図７に示すステップＳ６０７以降の処理を、抽出した結論レコードとそれに対応する前提レコードを含めて、実行する。
　図１９は、上述のようにして形成された、グループ識別子が「２０１」の結論匿名グループの一例を、模式的に示す図である。図１９に示すように、匿名化前の固有識別子毎の対応関係は８種類である。また、これらの結論レコードが全て同じグループ識別子のもとにグループ化された場合、即ち前提属性値と結論属性値とを任意に入れ替え可能とされた場合、やはり対応関係は８種類である。即ち、対応関係の抽象化は発生しない。
　また、匿名グループ生成部１２０は、特定の結論匿名グループに対して、以下の条件に合致する、複数の前提レコードと結論レコードとの組を追加するようにしてもよい。第一の条件は、その複数の結論レコードが、その特定の結論匿名グループに含まれる結論レコードの結論属性値のいずれとも異なる、同一の結論属性値を有することである。第２の条件は、その複数の前提レコードのそれぞれが、その特定の結論匿名グループに含まれる結論レコードに対応する前提レコードのそれぞれの、前提属性値の全ての種類を含むことである。
　図２０は、上述の条件に基づいて形成された結論匿名グループの一例を模式的に示す図である。
　＜＜＜本実施形態の第２の変形例＞＞＞
　匿名グループ生成部１２０は、残レコードから、第１のｌ－多様性及び第２のｌ－多様性のそれぞれを充足する匿名化が可能な、前提レコードからなる前提匿名グループ及び結論レコードからなる結論匿名グループのそれぞれを生成する。ここで、その残レコードは、図１７に示す動作において出力された結論匿名グループデータセットに含まれる結論レコードの有する固有識別子以外の、固有識別子を有する結論レコードである。
　図２１は、残レコード５７０から生成した結論匿名グループの一例を示す図である。図２１に示すように、上述のようにして生成された結論匿名グループは、第２のｌ－多様性を充足し、それらの結論レコードに対応する前提レコードからなる匿名グループは、第１のｌ－多様性を充足する。但し、匿名化前の固有識別子毎の対応関係は５種類であるのに対し、グループ化された場合の対応関係は９種類である。従って、対応関係の抽象化が、発生する。
　＜＜＜本実施形態の第３の変形例＞＞＞
　上述の説明においては、レコード抽出部１１０及び匿名グループ生成部１２０は、診療月の属性値が「４月」のレコードを前提レコード（第１のレコード）とし、診療月の属性値が「５月」のレコードを結論レコード（第２のレコード）として、処理した。しかし、レコード抽出部１１０及び匿名グループ生成部１２０は、診療月の属性値が「５月」のレコードを前提レコード（第１のレコード）とし、診療月の属性値が「４月」のレコードを結論レコード（第２のレコード）としてもよい。
　即ち、対応関係は、属性の物理的な性質に係わらず、任意の方向の対応関係であってよい。
　＜＜＜本実施形態の第４の変形例＞＞＞
　上述の説明においては、レコード抽出部１１０及び匿名グループ生成部１２０は、各動作におけるレコードの抽出及び選択を、前提属性値と結論属性値との関係のみを考慮して、図示されている順番で行うようにした。しかし、レコード抽出部１１０及び匿名グループ生成部１２０は、他の属性の匿名化（例えば、年齢の汎化）を考慮して、各動作におけるレコードの抽出及び選択を行う（例えば、年齢の属性値が近いレコードを同一のグループにする）ようにしてもよい。
　＜＜＜本実施形態の第５の変形例＞＞＞
　図７に示すステップＳ６０８からステップＳ６１０までの処理のそれぞれは、その順番を守った上で、ステップＳ６０４以降の、任意のタイミングで実行してもよい。
　＜＜＜本実施形態の第６の変形例］
　匿名グループ生成部１２０は、前提匿名グループデータセットと結論匿名データセットとを別々に出力してもよいし、纏めて１つのデータセットとして出力してもよい。
　＜＜＜本実施形態の第７の変形例＞＞＞
　匿名グループ生成部１２０は、結論匿名グループデータセットの結論レコードに対して、対応する前提レコードのグループ識別子を、関連識別子として関連付けてもよい。この場合、匿名グループ生成部１２０は、前提レコードに関連識別子を関連付けないようにしてもよい。
　＜＜＜本実施形態の第８の変形例＞＞＞
　匿名グループ生成部１２０は、対応関係にある前提匿名グループの前提レコードと結論匿名グループの結論レコードとについてグループ識別子を一致させてもよい。この場合、匿名グループ生成部１２０は、前提レコード及び結論レコードに関連識別子を関連付けないようにしてもよい。
　上述した本実施形態における第１の効果は、「同一の固有識別子を有するレコード間の対応関係」の情報を含むデータセットがｌ－多様性を充足するように匿名化を施された場合に、その対応関係の情報が曖昧になりすぎることを防止することが可能になる点である。
　その理由は、以下のような構成を含むからである。即ち、第１にレコード抽出部１１０が、第１及び第２のｌ－多様性を充足可能であることと対応関係の抽象度とに基づいて、前提レコード及び結論レコードを抽出する。第２に、匿名グループ生成部１２０が、レコード抽出部１１０によって抽出された前提レコードを参照し、同じく抽出された結論レコードから第１のｌ－多様性と第２のｌ－多様性とを充足可能にするように結論レコードを抽出して結論匿名グループを生成する。
　上述した本実施形態における第２の効果は、「同一の固有識別子を有するレコード間の対応関係」の情報を含むデータセットが、前提レコードと結論レコードとで異なるｌの値のｌ－多様性を充足するように匿名化を施された場合にも、その対応関係の情報が曖昧になりすぎることを防止することが可能になる点である。
　その理由は、第１の効果の理由と同じである。
　上述した本実施形態における第３の効果は、データセットに含まれるレコードをより有効に利用することが可能になる点である。
　その理由は、匿名グループ生成部１２０が、前提匿名グループデータセットと結論匿名グループデータセットとに、対応関係の抽象化が発生しないように追加可能な、残レコードを追加するようにしたからである。
　上述した本実施形態における第４の効果は、データセットに含まれるレコードを、更に、より有効に利用することが可能になる点である。
　その理由は、匿名グループ生成部１２０が、残レコードから、前提匿名グループ及び結論匿名グループのそれぞれを生成するようにしたからである。
　上述した本実施形態における第５の効果は、データセットの匿名化を、利用価値が低くならないように施すことが可能になる点である。
　その理由は、レコード抽出部１１０及び匿名グループ生成部１２０が、他の属性の匿名化を考慮して、各動作におけるレコードの抽出及び選択を、行うようにしたからである。
　＜＜＜第２の実施形態＞＞＞
　次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
　図２２は、本発明の第２の実施形態に係る匿名化装置２００の構成を示すブロック図である。
　図２２に示す構成要素は、ハードウェア単位の構成要素ではなく、機能単位の構成要素を示している。尚、図２２に示す構成要素は、ハードウェア単位の構成要素でも、コンピュータ装置の機能単位に分割した構成要素でもよい。ここでは、図１に示す構成要素は、コンピュータ装置の機能単位に分割した構成要素として説明する。
　図２２を参照すると、本実施形態に係る匿名化装置２００は、第１の実施形態の匿名化装置１００と比べて、遷移ベクトル抽出部２３０を更に含み、レコード抽出部１１０に替えてレコード抽出部２１０を含む。
　＝＝＝遷移ベクトル抽出部２３０＝＝＝
　遷移ベクトル抽出部２３０は、複数の遷移ベクトルについての類似度の算出対象を示す、算出対象情報を生成する。そして、遷移ベクトル抽出部２３０は、その算出対象情報をレコード抽出部２１０に出力する。
　算出対象情報に含まれる算出対象を抽出する操作について具体的に説明する。
　＜＜＜第一の抽出操作＞＞＞
　遷移ベクトル抽出部２３０は、２つの遷移ベクトル間に、第２のｌ－多様性のｌ種類以上の、要素の共起が存在する場合、その２つの遷移ベクトルの組み合わせを算出対象として抽出する。
　例えば、第２のｌ－多様性のｌが「２」であるとする。また、遷移ベクトル抽出部２３０が処理の対処とする複数の遷移ベクトルを以下のとおりであるとする。
　ｔｒＡ＝（０．３，　０．２，　０．２，　０．０，　０．０，　０．０，　０．０，　０．１，　０．１，　０．０，　０．２）Ｔ
　ｔｒＢ＝（０．２，　０．０，　０．２，　０．０，　０．０，　０．０，　０．０，　０．０，　０．１，　０．３，　０．２）Ｔ
　ｔｒＣ＝（０．０，　０．０，　０．０，　０．０，　０．０，　０．０，　０．０，　０．１，　０．１，　０．２，　０．０）Ｔ
　ｔｒＤ＝（０．０，　０．０，　０．１，　０．０，　０．２，　０．１，　０．１，　０．２，　０．２，　０．０，　０．０）Ｔ
　ｔｒＥ＝（０．０，　０．０，　０．２，　０．１，　０．２，　０．０，　０．０，　０．０，　０．０，　０．０，　０．０）Ｔ
　ｔｒＦ＝（０．０，　０．０，　０．０，　０．０，　０．０，　０．１，　０．２，　０．０，　０．０，　０．０，　０．０）Ｔ
　ｔｒＧ＝（０．０，　０．０，　０．１，　０．２，　０．２，　０．０，　０．０，　０．０，　０．０，　０．０，　０．０）Ｔ
　この場合、遷移ベクトルｔｒＡと遷移ベクトルｔｒＢとは、１、３、９及び１１番目の各要素が共起している。従って、遷移ベクトル抽出部２３０は、遷移ベクトルｔｒＡと遷移ベクトルｔｒＢとの組み合わせを算出対象として抽出する。
　また、遷移ベクトルｔｒＡと遷移ベクトルｔｒＥとは、３番目の要素だけが共起している（共起している要素が１種類である）。従って、遷移ベクトル抽出部２３０は、遷移ベクトルｔｒＡと遷移ベクトルｔｒＥとの組み合わせを算出対象として抽出しない。
　図２３は、遷移ベクトル抽出部２３０が抽出した２つの遷移ベクトルの組み合わせの、一例を示す図である。図２３は、各遷移ベクトルをノードとし、算出対象の２つのベクトルの組み合わせをエッジで示す。
　以上のようにして、遷移ベクトル抽出部２３０は、例えば、以下に示す算出対象情報を生成する。
　（ｔｒＡ－ｔｒＢ　、ｔｒＡ－ｔｒＣ　、ｔｒＡ－ｔｒＤ　、ｔｒＢ－ｔｒＣ　、ｔｒＢ－ｔｒＤ　、ｔｒＣ－ｔｒＤ　、ｔｒＤ－ｔｒＥ　、ｔｒＤ－ｔｒＧ　、ｔｒＤ－ｔｒＦ　、ｔｒＥ－ｔｒＧ）
　＜＜＜第二の抽出操作＞＞＞
　遷移ベクトル抽出部２３０は、ある遷移ベクトルについて、その遷移ベクトルとの類似度が「０」ではない他の遷移ベクトルが、第１のｌ－多様性のｌ種類の「ｌ－１」個以上存在する場合、その遷移ベクトルと他の遷移ベクトルとの組み合わせを算出対象として抽出する。
　尚、遷移ベクトル抽出部２３０は、類似度が遷移ベクトル間の内積である場合、それらの遷移ベクトルに対応する各要素間のそれぞれの、論理積をとることで遷移ベクトル間の類似度が「０」か否かを判定する。即ち、各要素間の論理積の全てが「０」の場合、遷移ベクトル抽出部２３０は、遷移ベクトル間の類似度が「０」であると判定する。各要素間の論理積のいずれかが「０」でない場合、遷移ベクトル抽出部２３０は、遷移ベクトル間の類似度が「０」でないと判定する。
　例えば、第１のｌ－多様性のｌが「３」であるとする。また、遷移ベクトル抽出部２３０が処理の対処とする複数の遷移ベクトルを第一の抽出操作で示した例のとおりであるとする。
　この場合、遷移ベクトルｔｒＡについて、遷移ベクトルｔｒＡとの類似度が「０」でない他の遷移ベクトルは遷移ベクトルｔｒＢ、遷移ベクトルｔｒＣ及び遷移ベクトルｔｒＤである。従って、遷移ベクトル抽出部２３０は、遷移ベクトルｔｒＡと遷移ベクトルｔｒＢ及び遷移ベクトルｔｒＣとの組み合わせを算出対象として抽出する。
　また、遷移ベクトルｔｒＦについて、遷移ベクトルｔｒＦとの類似度が「０」でない他の遷移ベクトルは遷移ベクトルｔｒＤのみである。従って、遷移ベクトル抽出部２３０は、遷移ベクトルｔｒＦと他の遷移ベクトルとの組み合わせを算出対象として抽出しない。
　図２４は、遷移ベクトル抽出部２３０が抽出した２つの遷移ベクトルの組み合わせの、一例を示す図である。図２４は、各遷移ベクトルをノードとし、算出対象の２つのベクトルの組み合わせをエッジで示す。
　以上のようにして、遷移ベクトル抽出部２３０は、例えば、以下に示す算出対象情報を生成する。
　（ｔｒＡ－ｔｒＢ　、ｔｒＡ－ｔｒＣ　、ｔｒＡ－ｔｒＤ　、ｔｒＢ－ｔｒＣ　、ｔｒＢ－ｔｒＤ　、ｔｒＣ－ｔｒＤ　、ｔｒＤ－ｔｒＥ　、ｔｒＤ－ｔｒＧ　、ｔｒＥ－ｔｒＧ）
　＜＜＜第三の抽出操作＞＞＞
　遷移ベクトル抽出部２３０は、第１のｌ－多様性のｌ個のある遷移ベクトルについて、それらの遷移ベクトル間の類似度のいずれもが、「０」ではない場合、それらの遷移ベクトル間の組み合わせを算出対象として抽出する。
　図２５は、遷移ベクトル抽出部２３０が処理対象とする遷移ベクトル間の類似度が「０」か否かを示す模式図である。図２５は、各遷移ベクトルをノードとし、ある２つの遷移ベクトル間の類似度が「０」でないことをエッジで示す。
　例えば、第１のｌ－多様性のｌが「３」の場合、遷移ベクトル抽出部２３０は、３個の遷移ベクトルｔｒＡ、遷移ベクトルｔｒＢ及び遷移ベクトルｔｒＣについて、それらの遷移ベクトル間の類似度のいずれもが、「０」ではない（エッジがある）ので、それらの遷移ベクトル間の組み合わせを算出対象として抽出する。また、遷移ベクトル抽出部２３０は、３個の遷移ベクトルｔｒＤ、遷移ベクトルｔｒＥ及び遷移ベクトルｔｒＦについて、遷移ベクトルｔｒＤと遷移ベクトルｔｒＦとの類似度が「０」であるので、それらの遷移ベクトル間の組み合わせを、算出対象として抽出しない。
　以上のようにして、遷移ベクトル抽出部２３０は、例えば、以下に示す算出対象情報を生成する。
　（ｔｒＡ－ｔｒＢ　、ｔｒＡ－ｔｒＣ　、ｔｒＡ－ｔｒＤ　、ｔｒＢ－ｔｒＣ　、ｔｒＢ－ｔｒＤ　、ｔｒＣ－ｔｒＤ　、ｔｒＦ－ｔｒＧ　、ｔｒＦ－ｔｒＨ　、ｔｒＧ－ｔｒＨ　）
　また、同様にして、第１のｌ－多様性のｌが「４」の場合、遷移ベクトル抽出部２３０は、以下に示す算出対象情報を生成する。
　（ｔｒＡ－ｔｒＢ　、ｔｒＡ－ｔｒＣ　、ｔｒＡ－ｔｒＤ　、ｔｒＢ－ｔｒＣ　、ｔｒＢ－ｔｒＤ　、ｔｒＣ－ｔｒＤ　）
　以上が、算出対象情報に含まれる算出対象を抽出する操作の説明である。
　尚、遷移ベクトル抽出部２３０は、上述の第一、二及び三の抽出操作を単独でも、任意に組み合わせてでも、実行してよい。
　＝＝＝レコード抽出部２１０＝＝＝
　レコード抽出部２１０は、生成した遷移ベクトルを遷移ベクトル抽出部２３０に出力する。そして、レコード抽出部２１０は、遷移ベクトル抽出部２３０からその抽出した結果を受け取る。
　例えば、レコード抽出部２１０は、図１７に示すステップＳ６０１に続けて、生成した遷移ベクトルを遷移ベクトル抽出部２３０に出力する。そして、レコード抽出部２１０は、遷移ベクトル抽出部２３０からその抽出した結果を受け取ると、ステップＳ６０２以後の動作を実行する。
　尚、レコード抽出部２１０は、図１７に示すステップＳ６０３に続けて、利用済みの遷移ベクトルを除いた遷移ベクトルを遷移ベクトル抽出部２３０に出力するようにしてもよい。この場合、レコード抽出部２１０は、遷移ベクトル抽出部２３０からその抽出した結果を受け取ると、再度ステップＳ６０２から以後の動作を実行するようにしてもよい。ここで、利用済みの遷移ベクトルは、ステップＳ６０３において抽出した前提レコードに対応する遷移ベクトルである。
　図２６は、レコード抽出部２１０が出力する、利用済みの遷移ベクトルを除いた遷移ベクトルの一例を示す図である。例えば、レコード抽出部２１０は、図１７のステップＳ６０３において、３個の遷移ベクトルｔｒＡ、遷移ベクトルｔｒＢ及び遷移ベクトルｔｒＣを利用したとする。この場合、レコード抽出部２１０は、３個の遷移ベクトルｔｒＡ、遷移ベクトルｔｒＢ及び遷移ベクトルｔｒＣを除いた、遷移ベクトルｔｒＤ、遷移ベクトルｔｒＥ、遷移ベクトルｔｒＧ及び遷移ベクトルｔｒＨを遷移ベクトル抽出部２３０に出力する。
　図２７は、遷移ベクトル抽出部２３０が、レコード抽出部２１０から受け取った遷移ベクトルについて、算出対象として抽出する遷移ベクトル間の組み合わせを示す図である。この場合、遷移ベクトル抽出部２３０は、以下に示す算出対象情報を生成する。
　（ｔｒＤ－ｔｒＥ　、ｔｒＤ－ｔｒＧ　、ｔｒＥ－ｔｒＧ　）
　上述した本実施形態における第１の効果は、第１の実施形態の効果に加えて、効率よく匿名化することが可能になる点である。
　その理由は、遷移ベクトル抽出部２３０が複数の遷移ベクトルについての類似度の算出対象を示す算出対象情報を生成し、レコード抽出部２１０がその算出対象情報に基づいて、類似度を算出するようにしたからである。即ち、必要のない類似度について、その算出処理を実行しないようにしたからである。
　また、レコード抽出部２１０が、利用済みの遷移ベクトルを除いた遷移ベクトルを遷移ベクトル抽出部２３０に出力し、算出対象情報を取得するようにしたので、更に匿名化を効率化することが可能になる。
　以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、各構成要素は、複数の構成要素が１個のモジュールとして実現されてよい。また、各構成要素は、１つの構成要素が複数のモジュールで実現されてもよい。また、各構成要素は、ある構成要素が他の構成要素の一部であるような構成であってよい。また、各構成要素は、ある構成要素の一部と他の構成要素の一部とが重複するような構成であってもよい。
　以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ、可能であれば、ハードウェア的に実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、コンピュータ及びプログラムで実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、ハードウェア的なモジュールとコンピュータ及びプログラムとの混在により実現されてもよい。
　そのプログラムは、例えば、磁気ディスクや半導体メモリなど、不揮発性のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。
　また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障しない範囲で変更することができる。
　更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生したり、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複していたりしていてもよい。
　更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との全ての関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障をきたさない範囲内で変更されて良い。
　以上、各実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　この出願は、２０１２年９月２６日に出願された日本出願特願２０１２－２１２４５４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　１００　　匿名化装置
　１０１　　匿名化システム
　１１０　　レコード抽出部
　１２０　　匿名グループ生成部
　２１０　　レコード抽出部
　２３０　　遷移ベクトル抽出部
　５００　　履歴情報記憶部
　５１０　　データセット
　５２１　　前提レコード分
　５２２　　結論レコード分
　５３０　　抽出レコード群
　５３１　　抽出前提レコード群
　５３２　　抽出結論レコード群
　５４０　　共通部分レコード群
　５４１　　共通部分前提レコード群
　５４２　　共通部分結論レコード群
　５５０　　結論ソートレコード群
　５５１　　結論ソート前提レコード群
　５５２　　結論ソート結論レコード群
　５６２　　匿名グループ結論レコード群
　５７０　　残レコード
　６００　　匿名化情報記憶部
　６１１　　前提匿名グループデータセット
　６１２　　結論匿名グループデータセット
　７００　　コンピュータ
　７０１　　ＣＰＵ
　７０２　　記憶部
　７０３　　記憶装置
　７０４　　入力部
　７０５　　出力部
　７０６　　通信部
　７０７　　記録媒体
　５３２１　　結論レコード

Claims (14)

  1. 　固有識別子及び少なくとも１つの第１の属性を含む第１のレコードと、前記固有識別子と同一の固有識別子及び少なくとも１つの第２の属性を含む第２のレコードと、の組が複数件含まれるデータセットの中から、複数の前記第２のレコードを含む第２のレコード群において第２のｌ－多様性を充足可能であること、前記第２のレコード群に含まれる第２のレコードと組を成す前記第１のレコードから成る前記第１のレコード群において第１のｌ－多様性を充足可能であること、及び前記第１のレコードと前記第２のレコードとの間に存在する対応関係の抽象度に基づいて、複数の前記第２のレコードを抽出するレコード抽出手段と、
    　前記レコード抽出手段によって抽出された前記第２のレコードからなる匿名グループデータセットを、前記匿名グループデータセットにおいて前記第２のｌ－多様性を充足可能であり、かつ前記匿名グループデータセットに含まれる第２のレコードと組を成す前記第１のレコードからなる第１のレコード群において前記第１のｌ－多様性を充足可能であるように、生成し、出力する匿名グループ生成手段と、を備える
    　情報処理装置。
  2. 　前記匿名グループ生成手段は、更に、前記匿名グループデータセット及び前記匿名グループデータセットに含まれる第２のレコードのそれぞれと組を成す複数の前記第１のレコードが匿名化された前提匿名グループデータセットに対し、前記匿名グループデータセットに含まれる第２のレコードと前記前提匿名グループデータセットに含まれる第１のレコードとの前記対応関係を示す情報を付与して出力する
    　ことを特徴とする請求項１記載の情報処理装置。
  3. 　前記レコード抽出手段は、
    　前記第１のレコードに含まれる前記第１の属性の属性値毎の、前記第２のレコードに含まれる第２の属性の各第２の属性値が、前記第１のレコードと前記組を成す前記第２のレコードに出現する頻度を要素とする遷移ベクトルを生成し、
    　２つの前記遷移ベクトルのそれぞれに対応する前記第２のレコードのそれぞれ同士で同一である前記第２の属性の第２の属性値の数が、前記第２のｌ－多様性の種類数未満である前記遷移ベクトル間の類似度を最低値の０として、前記遷移ベクトル間の類似度を算出し、
    　前記類似度が相対的に大きい順の、前記第１のｌ－多様性の種類数の前記遷移ベクトルのそれぞれに対応する前記第１の属性値を含む第１レコードと組を成す前記第２のレコードを、前記抽象度が相対的に小さい前記第２のレコードとして抽出する、
    　ことを特徴とする請求項１または２記載の情報処理装置。
  4. 　複数の前記遷移ベクトルについての前記類似度の算出対象を示す算出対象情報を生成し、前記算出対象情報を出力する遷移ベクトル抽出手段を更に含み、
    　前記レコード抽出手段は、前記生成した遷移ベクトルを前記遷移ベクトル抽出手段に出力し、前記遷移ベクトル抽出手段から前記算出対象情報を取得する
    　ことを特徴とする請求項３記載の情報処理装置。
  5. 　前記レコード抽出手段は、前記抽出した第１のレコードに対応する前記遷移ベクトルを除いた、前記生成した遷移ベクトルを遷移ベクトル抽出手段に出力する
    　ことを特徴とする請求項４記載の情報処理装置。
  6. 　前記匿名グループ生成手段は、前記匿名グループデータセットに含まれる第２のレコードの第２の属性の属性値と、匿名化された前記第１のレコード群に含まれる第１のレコードの第１の属性の属性値との間の前記対応関係の種類の数が増加しないように、前記匿名グループデータセットを生成する、
    　ことを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。
  7. 　前記匿名グループ生成手段は、更に、前記匿名グループデータセットに前記対応関係の抽象化が発生しないように追加可能な、前記匿名グループデータセットに含まれていない、前記第２のレコードを前記匿名グループデータセットに追加する、
    　ことを特徴とする請求項６記載の情報処理装置。
  8. 　前記匿名グループ生成手段は、更に、前記匿名グループデータセットに含まれていない前記第２のレコードから、前記第２のｌ－多様性を充足する匿名化が可能な前記第２のレコードの組であって、前記第２のｌ－多様性を充足する匿名化が可能な前記第２のレコードと組を成す前記第１のレコードの組において前記第１のｌ－多様性を充足可能である、前記第２のレコードの組を抽出し、前記匿名グループデータセットに追加する
    　ことを特徴とする請求項６または７記載の情報処理装置。
  9. 　コンピュータが、
    　固有識別子及び少なくとも１つの第１の属性を含む第１のレコードと、前記固有識別子と同一の固有識別子及び少なくとも１つの第２の属性を含む第２のレコードと、の組が複数件含まれるデータセットの中から、前記第２のレコードからなる第２のレコード群において第２のｌ－多様性を充足可能であること、前記第２のレコード群に含まれる第２のレコードと組を成す前記第１のレコードから成る前記第１のレコード群において第１のｌ－多様性を充足可能であること、及び前記第１のレコードと前記第２のレコードとの間に存在する対応関係の抽象度に基づいて、複数の前記第２のレコードを抽出し、
    　前記抽出された前記第２のレコードからなる匿名グループデータセットを、前記匿名グループデータセットにおいて前記第２のｌ－多様性を充足可能であり、かつ前記匿名グループデータセットに含まれる第２のレコードと組を成す前記第１のレコードからなる第１のレコード群において前記第１のｌ－多様性を充足可能であるように、生成し、出力する
    　匿名化方法。
  10. 　前記第２のレコードの抽出は、
    　前記第１のレコードに含まれる前記第１の属性の属性値毎の、前記第２のレコードに含まれる第２の属性の第２の各属性値が、前記第１のレコードと前記組を成す前記第２のレコードに出現する頻度を要素とする遷移ベクトルを生成し、
    　２つの前記遷移ベクトルそれぞれに対応する第２のレコードのそれぞれ同士で同一である、前記第２の属性の第２の属性値の数が、前記第２のｌ－多様性の種類数未満である前記遷移ベクトル間の類似度を最低値の０として、前記遷移ベクトル間の類似度を算出し、
    　前記類似度が相対的に大きい順の、前記第１のｌ－多様性の種類数の前記遷移ベクトルそれぞれに対応する前記第１の属性値を含む第１レコードと組を成す前記第２のレコードとを、前記抽象度が相対的に小さい前記第２のレコードとして抽出する、
    　ことを特徴とする請求項９記載の匿名化方法。
  11. 　前記コンピュータが、更に、複数の前記遷移ベクトルについての前記類似度の算出対象を示す算出対象情報を生成し、前記算出対象情報を出力し、
    　前記第２のレコードの抽出において、前記生成した遷移ベクトルに対応する前記算出対象情報に基づいて、前記遷移ベクトル間の類似度を算出する
    　ことを特徴とする請求項１０記載の匿名化方法。
  12. 　固有識別子及び少なくとも１つの第１の属性を含む第１のレコードと、前記固有識別子と同一の固有識別子及び少なくとも１つの第２の属性を含む第２のレコードと、の組が複数件含まれるデータセットの中から、前記第２のレコードからなる第２のレコード群において第２のｌ－多様性を充足可能であること、前記第２のレコード群に含まれる第２のレコードと組を成す前記第１のレコードから成る前記第１のレコード群において第１のｌ－多様性を充足可能であること、及び前記第１のレコードと前記第２のレコードとの間に存在する対応関係の抽象度に基づいて、複数の前記第２のレコードを抽出する処理と、
    　前記抽出された前記第２のレコードからなる匿名グループデータセットを、前記匿名グループデータセットにおいて前記第２のｌ－多様性を充足可能であり、かつ前記匿名グループデータセットに含まれる第２のレコードと組を成す前記第１のレコードからなる第１のレコード群において前記第１のｌ－多様性を充足可能であるように、生成し、出力する処理と、をコンピュータに実行させるための
    　プログラムを記録したコンピュータ読み取り可能不揮発性記録媒体。
  13. 　前記第２のレコードを抽出する処理において、
    　前記第１のレコードに含まれる前記第１の属性の属性値毎の、前記第２のレコードに含まれる第２の属性の各第２の属性値が、前記第１のレコードと前記組を成す前記第２のレコード出現する頻度を要素とする遷移ベクトルを生成し、
    　２つの前記遷移ベクトルそれぞれに対応する第２のレコードのそれぞれ同士で同一である、前記第２の属性の第２の属性値の数が、前記第２のｌ－多様性の種類数未満である前記遷移ベクトル間の類似度を最低値の０として、前記遷移ベクトル間の類似度を算出し、
    　前記類似度が相対的に大きい順の、前記第１のｌ－多様性の種類数の前記遷移ベクトルそれぞれに対応する前記第１の属性値を含む第１レコードと組を成す前記第２のレコードとを、前記抽象度が相対的に小さい前記第２のレコードとして抽出する、処理を前記コンピュータに実行させる
    　前記プログラムを記録した請求項１２記載のコンピュータ読み取り可能不揮発性記録媒体。
  14. 　複数の前記遷移ベクトルについての前記類似度の算出対象を示す算出対象情報を生成し、前記算出対象情報を出力する処理を、更に、前記コンピュータに実行させ、
    　前記第２のレコードの抽出において、前記生成した遷移ベクトルに対応する前記算出対象情報に基づいて、前記遷移ベクトル間の類似度を算出する、処理を前記コンピュータに実行させる
    　前記プログラムを記録した請求項１３記載のプログラムを記録した不揮発性記録媒体。
PCT/JP2013/005392 2012-09-26 2013-09-12 匿名化を実行する情報処理装置、匿名化方法及びプログラムを記録した記録媒体 Ceased WO2014049995A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US14/431,145 US20150254462A1 (en) 2012-09-26 2013-09-12 Information processing device that performs anonymization, anonymization method, and recording medium storing program
JP2014538140A JP6079783B2 (ja) 2012-09-26 2013-09-12 匿名化を実行する情報処理装置及び匿名化方法、及びプログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2012-212454 2012-09-26
JP2012212454 2012-09-26

Publications (1)

Publication Number Publication Date
WO2014049995A1 true WO2014049995A1 (ja) 2014-04-03

Family

ID=50387441

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/005392 Ceased WO2014049995A1 (ja) 2012-09-26 2013-09-12 匿名化を実行する情報処理装置、匿名化方法及びプログラムを記録した記録媒体

Country Status (3)

Country Link
US (1) US20150254462A1 (ja)
JP (1) JP6079783B2 (ja)
WO (1) WO2014049995A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019014690A (ja) * 2017-07-10 2019-01-31 クラシエホームプロダクツ株式会社 洗浄剤組成物

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11228653B2 (en) * 2014-05-15 2022-01-18 Samsung Electronics Co., Ltd. Terminal, cloud apparatus, driving method of terminal, method for processing cooperative data, computer readable recording medium
US10565399B2 (en) * 2017-10-26 2020-02-18 Sap Se Bottom up data anonymization in an in-memory database
WO2019189969A1 (ko) 2018-03-30 2019-10-03 주식회사 그리즐리 빅데이터 개인정보 익명화 및 익명 데이터 결합 방법
WO2020222140A1 (en) * 2019-04-29 2020-11-05 Telefonaktiebolaget Lm Ericsson (Publ) Data anonymization views
US11775592B2 (en) * 2020-08-07 2023-10-03 SECURITI, Inc. System and method for association of data elements within a document

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012090628A1 (ja) * 2010-12-27 2012-07-05 日本電気株式会社 情報保護装置及び情報保護方法
JP2012159982A (ja) * 2011-01-31 2012-08-23 Kddi Corp 公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8631500B2 (en) * 2010-06-29 2014-01-14 At&T Intellectual Property I, L.P. Generating minimality-attack-resistant data
US20110202774A1 (en) * 2010-02-15 2011-08-18 Charles Henry Kratsch System for Collection and Longitudinal Analysis of Anonymous Student Data

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012090628A1 (ja) * 2010-12-27 2012-07-05 日本電気株式会社 情報保護装置及び情報保護方法
JP2012159982A (ja) * 2011-01-31 2012-08-23 Kddi Corp 公開情報のプライバシー保護装置、公開情報のプライバシー保護方法およびプログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
TAKAO TAKENOUCHI: "Fukusu no Data Teikyo no Tameno Tokumeika", COMPUTER SECURITY SYMPOSIUM 2013 RONBUNSHU, vol. 2013, no. 4, 14 October 2013 (2013-10-14), pages 893 - 900 *
TSUBASA TAKAHASHI: "Jikeiretsu Data ni Taisuru 1-Tayoka Hoshiki no Teian", DAI 4 KAI FORUM ON DATA ENGINEERING AND INFORMATION MANAGEMENT RONBUNSHU (DAI 10 KAI DATABASE SOCIETY OF JAPAN NENJI TAIKAI), 30 August 2012 (2012-08-30), Retrieved from the Internet <URL:http://db-event.jpn.org/deim2012/proceedings/final-pdf/a1-l.pdf> *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019014690A (ja) * 2017-07-10 2019-01-31 クラシエホームプロダクツ株式会社 洗浄剤組成物

Also Published As

Publication number Publication date
JP6079783B2 (ja) 2017-02-15
JPWO2014049995A1 (ja) 2016-08-22
US20150254462A1 (en) 2015-09-10

Similar Documents

Publication Publication Date Title
JP6079783B2 (ja) 匿名化を実行する情報処理装置及び匿名化方法、及びプログラム
JP6015658B2 (ja) 匿名化装置、及び、匿名化方法
US20240143838A1 (en) Apparatus and a method for anonymizing user data
JP6398724B2 (ja) 情報処理装置、および、情報処理方法
US20140317756A1 (en) Anonymization apparatus, anonymization method, and computer program
Feremans et al. PETSC: pattern-based embedding for time series classification
JPWO2014181541A1 (ja) 匿名性を検証する情報処理装置及び匿名性検証方法
CN103345616A (zh) 基于行为分析的指纹存储比对的系统
WO2015079647A1 (ja) 情報処理装置および情報処理方法
CN115567305A (zh) 基于深度学习的顺序网络攻击预测分析方法
CN118800381A (zh) 根据原始数据集生成合成纵向数据集的系统和方法
JP6301767B2 (ja) パーソナル情報匿名化装置
Kapoor Data mining: Past, present and future scenario
Maicha et al. UML4NoSQL: a novel approach for modeling NoSQL document-oriented databases based on UML
Chrimes et al. Operational efficiencies and simulated performance of big data analytics platform over billions of patient records of a hospital system
Dong et al. GASP: graph-based approximate sequential pattern mining for electronic health records
US20230410016A1 (en) Methods and systems of facilitating provisioning contexts for business situations using a semantic graph
Jagdev et al. Implementation and applications of big data in health care industry
El Ouazzani et al. Proximity measurement for hierarchical categorical attributes in big data
JP5649466B2 (ja) 重要度判定装置、重要度判定方法およびプログラム
Wang et al. MapReduce-based frequent pattern mining framework with multiple item support
JP5665685B2 (ja) 重要度判定装置、重要度判定方法およびプログラム
JP5875536B2 (ja) 匿名化装置、匿名化方法、プログラム
JP2021193480A (ja) 情報処理プログラム、情報処理装置及び情報処理方法
Murphy et al. Information Technology Systems

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13842310

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2014538140

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14431145

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13842310

Country of ref document: EP

Kind code of ref document: A1