WO2014136422A1 - 匿名化処理を行う情報処理装置及び匿名化方法 - Google Patents

Abstract

　本発明は、匿名化処理前のデータが含む統計的性質を、匿名化処理後のデータにおいても維持することを可能にする情報処理装置を提供する。その情報処理装置は、データセットを匿名化する手段と、匿名化前と匿名化後とのそれぞれのデータセットにおける、特定の１つの準識別子についての、属性値の出現割合の差異が閾値以上であることを判定する手段と、閾値以上である場合に、その匿名化の匿名性を継承し、かつその差異がより小さくなるように、その匿名化後のデータセットに含まれるレコードを削減する手段とを備える。

Description

匿名化処理を行う情報処理装置及び匿名化方法

　本発明は、個人情報の匿名化処理を行うための技術に関する。

　近年、個人情報の匿名化について、様々な関連技術が知られている。

　非特許文献１は、ｋ－匿名性についての技術を開示する。ｋ－匿名性は、準識別子の匿名化により、同じ値の準識別子の組み合わせを含む個人情報の組がｋ通り以上になることを保証する指標である。ここで、準識別子は、個人情報の要素（属性とも呼ばれる）の一種であり、その要素を解析することにより、個人を特定することが可能になるような要素である。

　具体的には、個人情報を含む開示データセットは、複数の属性（準識別子）の属性値を含むレコードを集積したデータである。そして、その開示データセットは、以下の場合に、ｋ－匿名性を満たす。その場合は、任意のそれらの属性について、その属性値が共通の組み合わせを持つレコードが、少なくともｋ個以上存在する場合である。

　即ち、ｋ－匿名性とは、個人を特定する情報となり得る属性について、その属性値（準識別子の値）を加工して共通な値にすることにより、同じ値の準識別子の組み合わせを持つレコードがｋ個以上になることを保証する指標である。以後、同じ値の準識別子の組み合わせを持つレコードの集合は、匿名化グループと呼ばれる。

　特許文献１は、ｋ－匿名性を満たすようにデータセットを加工するプライバシー保護装置を開示する。特許文献１のプライバシー保護装置は、以下の構成を備える。

　第１に、表生成手段が、入力されたデータセットを属性毎に準識別子或いは重要情報に分類し、全ての準識別子からなる表と全ての重要情報からなる表とを生成する。

　第２に、設定手段が、公開情報を利用する利用者の要求条件を考慮して、データセットの各属性に優先順位（重み付け）を設定する。

　第３に、算出手段が、設定された優先順位（重み付け）に基づいて、各データセットの評価ポイントを算出する。

　第４に、処理手段が、それぞれの属性において、属性単体でｋ－匿名性を満たすようにデータセットの一般化を行う。

　第５に、データ加工手段が、一般化されたデータについて、トップダウン処理によりデータセットの加工を行い、次いで、ボトムアップ処理によりデータセットの加工を行う。

　ここで、そのデータ加工手段は、全ての準識別子から構成される表についてｋ－匿名性が満たされ、かつ、全ての重要情報から構成される表についてｌ－多様性が満たされるまで、そのトップダウン処理とそのボトムアップ処理とを繰り返す。

　そして、そのプライバシー保護装置は、そのｋ－匿名性及びそのｌ－多様性が満たされたことを判定した上で、最適なデータセットを出力する。

特開２０１２－００３４４０号公報

L. Sweeney, "Achieving k-anonymity privacy protection using generalization and suppression,"　International Journal on Uncertainty, Fuzziness and Knowledge based Systems, 10(5), pp.571-588, 2002.

　しかしながら、上述した先行技術文献に記載された技術においては、匿名化処理前のデータが含む統計的性質（例えば、特定の属性値の出現割合）が、匿名化処理により失われる場合があるという問題点がある。

　その理由は、上述した先行技術文献に記載された技術が、匿名化処理を行う場合に、その統計的性質を維持することを考慮されていない技術だからである。

　本発明の目的は、上述した問題点を解決できる情報処理装置、匿名化方法、及びそのためのプログラム或いはそのプログラムを記録したコンピュータ読み取り可能な非一時的記録媒体を提供することにある。

　本発明の一様態における情報処理装置は、準識別子を含む複数のデータレコードを含む第１のデータセットについて、前記準識別子を加工して所定の匿名性を有する第２のデータセットを生成する匿名化手段と、特定の１つの前記準識別子である対象準識別子について、前記第１のデータセットに含まれるデータレコードにおける前記対象準識別子の属性値の出現割合である第１の出現割合と、前記第２のデータセットに含まれる、前記対象準識別子の情報損失量が許容範囲内のデータレコードである、有効レコードにおける前記対象準識別子の属性値の出現割合である第２の出現割合との差異が割合差異閾値未満である場合に、前記第２のデータセットを出力する維持状態判定手段と、前記差異が前記割合差異閾値以上である場合に、前記所定の匿名性を継承し、かつ前記差異がより小さくなるように、前記第２のデータセットに含まれる有効レコードを削減する出現割合補正手段と、を含む。

　本発明の一様態における匿名化方法は、コンピュータが、準識別子を含む複数のデータレコードを含む第１のデータセットについて、前記準識別子を加工して所定の匿名性を有する第２のデータセットを生成し、特定の１つの前記準識別子である対象準識別子について、前記第１のデータセットに含まれるデータレコードにおける前記対象準識別子の属性値の出現割合である第１の出現割合と、前記第２のデータセットに含まれる、前記対象準識別子の情報損失量が許容範囲内のデータレコードである、有効レコードにおける前記対象準識別子の属性値の出現割合である第２の出現割合との差異が割合差異閾値未満である場合に、前記第２のデータセットを出力し、前記差異が前記割合差異閾値以上である場合に、前記所定の匿名性を継承し、かつ前記差異がより小さくなるように、前記第２のデータセットに含まれる有効レコードを削減する。

　本発明の一様態におけるコンピュータ読み取り可能な非一時的記録媒体は、準識別子を含む複数のデータレコードを含む第１のデータセットについて、前記準識別子を加工して所定の匿名性を有する第２のデータセットを生成する処理と、特定の１つの前記準識別子である対象準識別子について、前記第１のデータセットに含まれるデータレコードにおける前記対象準識別子の属性値の出現割合である第１の出現割合と、前記第２のデータセットに含まれる、前記対象準識別子の情報損失量が許容範囲内のデータレコードである、有効レコードにおける前記対象準識別子の属性値の出現割合である第２の出現割合との差異が割合差異閾値未満である場合に、前記第２のデータセットを出力する処理と、前記差異が前記割合差異閾値以上である場合に、前記所定の匿名性を継承し、かつ前記差異がより小さくなるように、前記第２のデータセットに含まれる有効レコードを削減する処理と、をコンピュータに実行させるプログラムを記録する。

　本発明は、匿名化処理前のデータが含む統計的性質を、匿名化処理後のデータにおいても維持することを可能にするという効果がある。

図１は、本発明の第１の実施形態に係る匿名化装置の構成を示すブロック図である。 図２は、第１の実施形態に係る匿名化装置を組む情報処理システムの構成を示すブロック図である。 図３は、第１の実施形態における元データセットの一例を示す図である。 図４は、第１の実施形態における匿名化データセットの一例を示す図である。 図５は、第１の実施形態における更新匿名化データセットの一例を示す図である。 図６は、第１の実施形態に係る匿名化装置を実現するコンピュータのハードウェア構成を示すブロック図である。 図７は、第１の実施形態における匿名化装置の動作を示すフローチャートである。 図８は、本発明の第２の実施形態に係る匿名化装置の構成を示すブロック図である。 図９は、第２の実施形態における削除後匿名化データセットの一例を示す図である。 図１０は、第２の実施形態における匿名化装置の動作を示すフローチャートである。 図１１は、本発明の第３の実施形態における元データセット８１０において削除される元データレコード８１１を示す図である。 図１２は、第３の実施形態における更新元データセットの一例を示す図である。 図１３は、第３の実施形態における更新匿名化データセットの一例を示す図である。 図１４は、第３の実施形態における匿名化装置の動作を示すフローチャートである。 図１５は、第３の実施形態における匿名化装置の動作を示すフローチャートである。 図１６は、本発明の第４の実施形態に係る匿名化装置の構成を示すブロック図である。 図１７は、本発明の第５の実施形態に係る匿名化装置の構成を示すブロック図である。

　本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の構成要素には同様の符号を付与し、適宜説明を省略する。
＜＜第１の実施の形態＞＞
　図１は、本発明の第１の実施形態に係る匿名化装置（情報処理装置とも呼ばれる）１００の構成を示すブロック図である。

　図１に示すように、本実施形態に係る匿名化装置１００は、ｋ－匿名化部（匿名化手段とも呼ばれる）１１０と、維持状態判定部１２０と、出現割合補正部１３０とを含む。

　図２は、匿名化装置１００を含む情報処理システム１０１の構成を示すブロック図である。

　図２に示すように、その情報処理システム１０１は、匿名化装置１００、元データ記憶装置８００及び匿名化データ記憶装置９００を含む。

　＝＝＝ｋ－匿名化部１１０＝＝＝
　ｋ－匿名化部１１０は、準識別子を含む複数のレコードを含む元データセット（第１のデータセット）について、その準識別子を加工してｋ－匿名性（所定の匿名性とも呼ばれる）を有する匿名化データセット（第２のデータセット）を生成する。

　図３は、元データセット８１０の一例を示す図である。図３に示すように、元データセット８１０は、複数の元データレコード８１１を含む。元データレコード８１１は、属性名が「性別」、「郵便番号」、「年齢」及び「病名」の各属性の属性値を含む。

　図３に示す元データセット８１０において、例えば、属性の「性別」、「郵便番号」及び「年齢」は、準識別子である。また、属性の「病名」は、センシティブ情報である。センシティブ情報は、特定の個人に結び付けられたくない、重要な或いは秘密として守られたい情報である。尚、上述の例に係わらず、ある属性が準識別子或いはセンシティブ情報であるということは、任意に定義されてよい。

　図３に示す例に係わらず、元データセットは、任意の数のデータレコードを含んでよい。元データセットのレコードは、任意の数の属性値を含んでよい。元データセットに含まれる準識別子は、１以上の任意の数であってよい。元データセットに含まれるセンシティブ情報は、任意の数であってよい。即ち、元データセットは、センシティブ情報を含まなくてもよい。

　ｋ－匿名化部１１０は、例えば、元データ記憶装置８００から元データセット８１０を取得する。ｋ－匿名化部１１０は、後述の図６に示す通信部７０６を介して、図示しない外部装置から元データセット８１０を取得してもよい。ｋ－匿名化部１１０は、後述の図６に示す入力部７０４、元データセット８１０を取得してもよい。また、ｋ－匿名化部１１０は、後述の図６に示す記録媒体７０７から、元データセット８１０を取得してもよい。

　図４は、匿名化データセット９１０の一例を示す図である。図４に示す匿名化データセット９１０は、次のように生成される。すなわち、ｋ－匿名化部１１０は、ｋ－匿名化（ここでは、ｋ＝２）を満たすように、図４に示す元データセット８１０の準識別子における属性値を加工し、匿名化データセット９１０を生成する。その匿名化データセット９１０は、維持状態判定部１２０に出力される。

　＝＝＝維持状態判定部１２０＝＝＝
　維持状態判定部１２０は、匿名前の元データセット８１０と匿名化後の匿名化データセット９１０におけるそれぞれの統計的性質が、許容範囲で維持されるか否かを判定する。すなわち、維持状態判定部１２０は、特定の１つの準識別子である対象準識別子について、元出現割合（第１の出現割合）と、匿名化出現割合（第２の出現割合）との差異が割合差異閾値未満である場合に、その匿名化データセット９１０を出力する。ここで、元出現割合は、元データセット８１０に含まれる元データレコード８１１における、その対象準識別子の属性値の出現割合である。また、匿名化出現割合は、匿名化データレコード９１１のうちの有効レコードにおけるその対象準識別子の属性値の出現割合である。ここで、有効レコードは、匿名化データセット９１０に含まれるレコードのうち、その対象準識別子の情報損失量が許容範囲内のものである。

　具体的には、第１に、維持状態判定部１２０は、元データセット８１０に含まれる元データレコード８１１における、特定の１つの準識別子（以後、対象準識別子と呼ぶ）の属性値の出現割合である元出現割合（第１の出現割合）を算出する。

　維持状態判定部１２０は、例えば、後述の図６に示す入力部７０４を介してオペレータが入力した、対象準識別子の指定を取得する。維持状態判定部１２０は、後述の図６に示す通信部７０６を介して図示しない外部装置から、対象準識別子の指定を取得してもよい。維持状態判定部１２０は、後述の図６に示す記録媒体７０７に記憶されている、対象準識別子の指定を取得してもよい。また、維持状態判定部１２０は、匿名化装置１００の図示しない記憶手段に予め記憶されている、対象準識別子の指定を取得してもよい。

　例えば、対象準識別子が「性別」である場合、維持状態判定部１２０は、図３に示す元データセット８１０に対応する、元出現割合を以下のように算出する。

　（属性値が「男」の元出現割合）＝（属性値が「男」を含む元データレコード８１１の数）÷（全ての元データレコード８１１の数）＝６÷１０＝０．６＝６０％。

　（属性値が「女」の元出現割合）＝（属性値が「女」を含む元データレコード８１１の数）÷（全ての元データレコード８１１の数）＝４÷１０＝０．４＝４０％。

　第２に、維持状態判定部１２０は、匿名化データセット９１０に含まれる有効な匿名化データレコード９１１における、その対象準識別子の属性値の出現割合である匿名化出現割合（第２の出現割合）を算出する。ここで、有効な匿名化データレコード９１１は、その対象準識別子の情報損失量が許容範囲内の匿名化データレコード９１１である。

　その情報損失量は、元データセット８１０が匿名化データセット９１０に匿名化された場合の、各属性値の抽象化の度合いである。

　例えば、「性別」の属性に係る情報損失量は、その属性値が「男」及び「女」のままの場合に「０」と、その属性値が「＊（男または女を示す）」に加工された場合に「１」と、定義することができる。この情報損失量の許容範囲を「０」とすると、情報損失量が「０」である「性別」の属性の属性値（「男」または「女」）を含む匿名化データレコード９１１は、その対象準識別子の情報損失量が許容範囲内である。また、情報損失量が「１」である「性別」の属性の属性値（「＊」）を含む匿名化データレコード９１１は、その対象準識別子の情報損失量が許容範囲外である。

　尚、情報損失量及び許容範囲は、上述の定義に係わらず、任意に定義で数値化されてよい。例えば、郵便番号の下位のいくつかの数字が無効化される場合、情報損失量は無効化する桁数であってよく、許容範囲は０から１０まで整数のいずれかであってよい。

　例えば、その対象準識別子が「性別」である場合、維持状態判定部１２０は、図４に示す匿名化データセット９１０に対応する、匿名化出現割合を以下のように算出する。

　（属性値が「男」の匿名化出現割合）＝（属性値が「男」を含む匿名化データレコード９１１の数）÷（全ての有効な匿名化データレコード９１１）＝３÷６＝０．５＝５０％。

　（属性値が「女」の匿名化出現割合）＝（属性値が「女」を含む匿名化データレコード９１１の数）÷（全ての有効な匿名化データレコード９１１の数）＝３÷６＝０．５＝５０％。

　例えば、その対象準識別子が「郵便番号」である場合、維持状態判定部１２０は、図３に示す元データセット８１０に対応する、元出現割合を以下のように算出する。

　その算出するための前提は、以下の２つである。１つ目の前提は、「匿名化データセット９１０においても維持したい、元データセット８１０が含む統計的性質が、上位２桁毎の出現割合である」である。２つ目の前提は、「有効桁数（利用したい桁数）が上位３桁である」である。この場合、情報損失量を無効化する下位の桁数及び許容範囲を「４」と定義することができる。

　（属性値の上位２桁が「１３」の元出現割合）＝（属性値の上位３桁が「１３０」の元データレコード８１１の数）÷（全ての元データレコード８１１の数）＝２÷１０＝０．２＝２０％。

　ここで、「属性値の上位３桁が「１３０」の元データレコード８１１の数」は、属性値の上位３桁が有効であって、属性値の上位２桁が「１３」である、元データレコード８１１の数を示す。

　（属性値の上位２桁が「１４」の元出現割合）＝（属性値の上位３桁が「１４０」、「１４１」「１４８」の元データレコード８１１の数）÷（全ての元データレコード８１１の数）＝６÷１０＝０．６＝６０％。

　（属性値の上位２桁が「２１」の元出現割合）＝（属性値の上位３桁が「２１１」の元データレコード８１１の数）÷（全ての元データレコード８１１の数）＝２÷１０＝０．２＝２０％。

　また、維持状態判定部１２０は、その対象準識別子が「郵便番号」である場合、図４に示す匿名化データセット９１０に対応する、匿名化出現割合を以下のように算出する。

　（属性値の上位２桁が「１３」の匿名化出現割合）＝（属性値の上位３桁が「１３０」の匿名化データレコード９１１の数）÷（全ての有効な匿名化データレコード９１１の数）＝２÷７＝０．２８６＝２８．６％。

　ここで、「全ての有効な匿名化データレコード９１１の数」は、許容範囲が「４」以下、即ち上位３桁が数値（「＊」ではない）で示されている属性値を含む匿名化データレコード９１１の数である。

　（属性値の上位２桁が「１４」の匿名化出現割合）＝（属性値の上位３桁が「１４８」の匿名化データレコード９１１の数）÷（全ての有効な匿名化データレコード９１１の数）＝３÷７＝０．４２９＝４２．９％。

　（属性値の上位２桁が「２１」の匿名化出現割合）＝（属性値の上位３桁が「２１１」の匿名化データレコード９１１の数）÷（全ての有効な匿名化データレコード９１１の数）＝２÷７＝０．２８６＝２８．６％。

　第３に、維持状態判定部１２０は、属性値のそれぞれの、その元出現割合とその匿名化出現割合との差異が割合差異閾値未満であるか否かを判定する。そして、その差異がその割合差異閾値未満である場合に、匿名化データセット９１０を出力する。

　割合差異閾値は、その元出現割合とその匿名化出現割合との差異の絶対値に対する、上限の値である。

　上述の図３に示す元データセット８１０と図４に示す匿名化データセット９１０とで示す例では、「性別」の属性の属性値が「男」に対応する、その元出現割合とその匿名化出現割合との差異の絶対値は、１０％である。同様に、属性値が「女」に対応する差異の絶対値は、１０％である。

　この場合、維持状態判定部１２０は、例えば、割合差異閾値が「２０％」ならば匿名化データセット９１０を出力し、割合差異閾値が「５％」ならば匿名化データセット９１０を出力しない。

　維持状態判定部１２０は、例えば、匿名化データ記憶装置９００に匿名化データセット９１０を出力する。維持状態判定部１２０は、後述の図６に示す通信部７０６を介して、図示しない外部装置に匿名化データセット９１０を出力してもよい。維持状態判定部１２０は、後述の図６に示す出力部７０５を介して、匿名化データセット９１０を出力してもよい。また、維持状態判定部１２０は、後述の図６に示す記録媒体７０７に、匿名化データセット９１０を記録してもよい。

　＝＝＝出現割合補正部１３０＝＝＝
　出現割合補正部１３０は、その元出現割合とその匿名化出現割合との差異がその割合差異閾値以上である場合に、以下の処理を実行する。その場合、出現割合補正部１３０は、前述のｋ－匿名性を継承し、かつその差異がより小さくなるように、匿名化データセット９１０に含まれる匿名化データレコード９１１を削除する。

　上述の図３に示す元データセット８１０と図４に示す匿名化データセット９１０とで示す例では、「性別」の属性の属性値が「男」に対応するその匿名化出現割合は、その元出現割合に対して、１０％減少している。また、「性別」の属性の属性値が「女」に対応するその匿名化出現割合は、その元出現割合に対して、１０％増加している。

　この場合、出現割合補正部１３０は、属性値が「男」に対応するその匿名化出現割合を増加させ、属性値が「女」に対応するその匿名化出現割合を減少させるように、「女」の属性値を含む匿名化データレコード９１１を削除する。維持状態判定部１２０は、そのような匿名化データレコード９１１をランダムに選択して削除する。

　図５は、上述のようにして匿名化データレコード９１１が削除された、更新匿名化データセット９１２の一例を示す図である。尚、更新匿名化データセット９１２は、匿名化データセットの一種である。そこで、維持状態判定部１２０は、更新匿名化データセット９１２に対して、匿名化データセット９１０に対する場合と同様の処理を行う。

　図５に示すように更新匿名化データセット９１２は、匿名化データセット９１０の１０行目の匿名化データレコード９１１が削除され、出現割合を補正された匿名化データセットである。図５に示す更新匿名化データセット９１２における匿名化出現割合は、結果的に、以下のように補正される。

　（属性値が「男」の元出現割合）＝（属性値が「男」を含む匿名化データレコード９１１の数）÷（全ての有効な匿名化データレコード９１１）＝３÷５＝０．６＝６０％。

　（属性値が「女」の元出現割合）＝（属性値が「女」を含む匿名化データレコード９１１の数）÷（全ての有効な匿名化データレコード９１１の数）＝２÷５＝０．４＝４０％。

　また、出現割合補正部１３０は、図５に示す更新匿名化データセット９１２が前述のｋ－匿名性を有するか否かを検証する。そして、出現割合補正部１３０は、図５に示すデータセットが前述のｋ－匿名性を有さない場合、以下の処理を繰り返す。第１に、出現割合補正部１３０は、匿名化データセット９１０から、未だ選択していない、他の有効な匿名化データレコード９１１（例えば、９行目の匿名化データレコード９１１）を選択して削除する。第２に、出現割合補正部１３０は、前述のｋ－匿名性を有するか否かを検証する。

　上述のようにして、匿名化装置１００は、前述のｋ－匿名性を継承し、かつ前述の差異が割合差異閾値未満である、更新匿名化データセット９１２を出力する。

　尚、匿名化データセット９１０の内容によっては、いずれの有効な匿名化データレコード９１１を選択して削除しても、前述のｋ－匿名性を継承することができない場合がありえる。そのような場合の異常処理の一例について、第５の実施形態で説明する。

　＝＝＝元データ記憶装置８００＝＝＝
　元データ記憶装置８００は、元データセット８１０を記憶する。

　＝＝＝匿名化データ記憶装置９００＝＝＝
　匿名化データ記憶装置９００は、匿名化データセット９１０を記憶する。

　以上が、匿名化装置１００の機能単位の各構成要素についての説明である。

　次に、匿名化装置１００のハードウェア単位の構成要素について説明する。

　図６は、本実施形態における匿名化装置１００を実現するコンピュータ７００のハードウェア構成を示す図である。

　図６に示すように、コンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体であってもよい。

　ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の、全体の動作を制御する。また、ＣＰＵ７０１は、例えば記憶装置７０３に装着された記録媒体７０７から、プログラムやデータを読み込み、読み込んだプログラムやデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図７に示すフローチャートの動作をコンピュータ７００に実行させるプログラムである。

　そして、ＣＰＵ７０１は、読み込んだプログラムに従って、また読み込んだデータに基づいて、図１に示すｋ－匿名化部１１０、維持状態判定部１２０及び出現割合補正部１３０として各種の処理を実行する。

　尚、ＣＰＵ７０１は、通信網（不図示）に接続されている外部コンピュータ（不図示）から、記憶部７０２にプログラムやデータをダウンロードしてもよい。

　記憶部７０２は、プログラムやデータを記憶する。記憶部７０２は、元データ記憶装置８００及び匿名化データ記憶装置９００を含んでよい。

　記憶装置７０３は、例えば、光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク及び半導体メモリであって、記録媒体７０７を含む。記憶装置７０３（記録媒体７０７）は、プログラムをコンピュータ読み取り可能に記憶する。また、記憶装置７０３は、データを記憶してもよい。記憶装置７０３は、元データ記憶装置８００及び匿名化データ記憶装置９００を含んでよい。

　入力部７０４は、例えばマウスやキーボード、内蔵のキーボタンなどで実現され、入力操作に用いられる。入力部７０４は、マウスやキーボード、内蔵のキーボタンに限らず、例えばタッチパネルなどでもよい。

　出力部７０５は、例えばディスプレイで実現され、出力を確認するために用いられる。

　通信部７０６は、外部装置（不図示）とのインタフェースを実現する。通信部７０６は、ｋ－匿名化部１１０及び維持状態判定部１２０の一部として含まれてよい。

　以上説明したように、図１に示す匿名化装置１００の機能単位のブロックは、図２に示すハードウェア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。

　尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給され、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを読み出して実行してもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納してもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するプログラム（ソフトウェア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。

　以上が、本実施形態における匿名化装置１００を実現するコンピュータ７００の、ハードウェア単位の各構成要素についての説明である。

　次に本実施形態の動作について、図１～図７を参照して詳細に説明する。

　図７は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。

　維持状態判定部１２０は、元データセット８１０における、対象準識別子の元出現割合を算出する（Ｓ６０１）。

　次に、ｋ－匿名化部１１０は、元データセット８１０を匿名化して、匿名化データセット９１０を生成する（Ｓ６０２）。

　次に、維持状態判定部１２０は、匿名化データセット９１０における、その対象準識別子の匿名化出現割合を算出する（Ｓ６０３）。

　次に、維持状態判定部１２０は、元出現割合と匿名化出現割合との差異が割合差異閾値の範囲内か否かを判定する（Ｓ６０４）。

　範囲内である場合、維持状態判定部１２０は、匿名化データセット９１０を出力する（Ｓ６０５）。そして、処理は終了する。

　範囲内でない場合、出現割合補正部１３０は、元出現割合と匿名化出現割合との差異が割合差異閾値の範囲内になるように匿名化データレコード９１１を選択して、選択した匿名化データレコード９１１を削除する（Ｓ６０６）。

　次に、出現割合補正部１３０は、更新匿名化データセット９１２がｋ－匿名性を満たすか否かを検証する（Ｓ６０７）。

　匿名性を満たす場合、処理はＳ６０４へ戻る。

　匿名性を満たさない場合、出現割合補正部１３０は、匿名化データセット９１０から、未だ選択していない、他の有効な匿名化データレコード９１１を選択して削除する（Ｓ６０８）。そして、処理はＳ６０７へ戻る。

　以上が、本実施形態の動作の説明である。

　上述した本実施形態における効果は、匿名化処理前のデータが含む統計的性質を、匿名化処理後のデータにおいても維持することを可能にする点である。

　その理由は、以下のような構成を含むからである。第１に、ｋ－匿名化部１１０が、元データセット８１０について、ｋ－匿名性を有する匿名化データセット９１０を生成する。第２に、維持状態判定部１２０が元出現割合と、匿名化出現割合とを算出し、それらの間の差異が割合差異閾値未満である場合に、匿名化データセット９１０を出力する。第３に、出現割合補正部１３０が、その差異が割合差異閾値以上である場合に、前述のｋ－匿名性を継承し、かつ前述の差異がより小さくなるように、匿名化データセット９１０に含まれる有効レコードを削減して、出現割合を補正する。
＜＜第２の実施形態＞＞
　次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

　図８は、本発明の第２の実施形態に係る匿名化装置２００の構成を示すブロック図である。

　図８を参照すると、本実施形態における匿名化装置２００は、第１の実施形態の匿名化装置１００と比べて、無効レコード削除部２４０を更に含む。

　＝＝＝無効レコード削除部２４０＝＝＝
　無効レコード削除部２４０は、匿名化データセット９１０に含まれる無効レコードを削除する。無効レコードは、匿名化データレコード９１１が含む対象準識別子の情報損失量が許容範囲外の、その匿名化データレコード９１１である。

　無効レコード削除部２４０は、その無効レコードを削除した削除後匿名化データセットを出力する。

　図９は、削除後匿名化データセット９２０の一例を示す図である。図９に示すように、削除後匿名化データセット９２０は、図４に示す匿名化データセット９１０から、「性別」の準識別子の値が「＊」（情報損失量が「１」、かつ許容範囲外）の匿名化データレコード９１１が削除されている。

　次に本実施形態の動作について、図８～図１０を参照して詳細に説明する。

　図１０は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。

　図１０のＳ６０１からＳ６０４までの動作は、図７のＳ６０１からＳ６０４までの動作と同等である。

　範囲内である場合、無効レコード削除部２４０は、匿名化データセット９１０に含まれる無効レコードを削除する（Ｓ６２６）。

　次に、無効レコード削除部２４０は、その無効レコードを削除した削除後匿名化データセット９２０を出力する（Ｓ６２７）。そして、処理は終了する。

　図１０のＳ６０６からＳ６０８までの動作は、図７のＳ６０６からＳ６０８までの動作と同様である。

　上述した本実施形態における効果は、第１の実施形態の効果に加えて、より利用に適したデータを出力することが可能になる点である。

　その理由は、無効レコード削除部２４０が、匿名化データセット９１０に含まれる無効レコードを削除した、削除後匿名化データセット９２０を出力するようにしたからである。
＜＜第３の実施形態＞＞
　次に、本発明の第３の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

　本実施形態の構成は、図１に示す匿名化装置１００と同等である。

　本実施形態のｋ－匿名化部１１０、維持状態判定部１２０及び出現割合補正部１３０は、第１の実施形態のｋ－匿名化部１１０、維持状態判定部１２０及び出現割合補正部１３０と動作が異なる。

　＝＝＝ｋ－匿名化部１１０＝＝＝
　本実施形態のｋ－匿名化部１１０は、準識別子を含む複数のレコードを含む元データセット８１０について、その準識別子を加工してｋ－匿名性を有する匿名化データセット９１０を生成する。

　更に、本実施形態のｋ－匿名化部１１０は、更新元データセットについて、その準識別子を加工して前述のｋ－匿名性を有する更新匿名化データセット（新たな第２のデータセット）を生成する。ここで、更新元データセットは、出現割合補正部１３０によって元データレコード８１１を削除された元データセット８１０である。詳細は後述する。

　図１１は、元データセット８１０において、出現割合補正部１３０によって削除される元データレコード８１１を示す図である。

　図１２は、元データレコード８１１が削除された更新元データセット８３０の一例を示す図である。図１２に示すように、更新元データセット８３０は、元データセット８１０に比べて、１０行目の元データレコード８１１が削除されている。

　図１３は、更新匿名化データセット９３０の一例を示す図である。

　＝＝＝維持状態判定部１２０＝＝＝
　第１に、維持状態判定部１２０は、元データセット８１０に含まれる元データレコード８１１における、対象準識別子の属性値の出現割合である元出現割合を算出する。

　第２に、維持状態判定部１２０は、匿名化データセット９１０に含まれる、有効な匿名化データレコード９１１における、その対象準識別子の属性値の出現割合である匿名化出現割合を算出する。

　第３に、維持状態判定部１２０は、それらの属性値のそれぞれの、その元出現割合とその匿名化出現割合との差異が割合差異閾値未満であるか否かを判定する。そして、その差異がその割合差異閾値未満である場合に、匿名化データセット９１０を出力する。

　更に、維持状態判定部１２０は、更新匿名化データセット９３０に含まれる有効な匿名化データレコード９１１における、その対象準識別子の属性値の出現割合である更新匿名化出現割合（第２の出現割合）を算出する。

　また、維持状態判定部１２０は、それらの属性値のそれぞれの、その元出現割合とその更新匿名化出現割合との差異が割合差異閾値未満であるか否かを判定する。そして、維持状態判定部１２０は、その差異がその割合差異閾値未満である場合に、更新匿名化データセット９３０を出力する。

　＝＝＝出現割合補正部１３０＝＝＝
　本実施形態の出現割合補正部１３０は、その元出現割合とその匿名化出現割合との差異がその割合差異閾値以上である場合に、以下の処理を実行する。その場合、出現割合補正部１３０は、前述のｋ－匿名性を継承し、かつその差異がより小さくなるような、その匿名化データセット９１０に含まれる匿名化データレコード９１１を検出する。続けて、本実施形態の出現割合補正部１３０は、その匿名化データレコード９１１に対応する、元データセット８１０の元データレコード８１１を削除し、更新元データセット８３０を生成する。

　また、本実施形態の出現割合補正部１３０は、その元出現割合とその更新匿名化出現割合との差異がその割合差異閾値以上である場合（即ち、既に検出済みの匿名化データレコード９１１がある場合）、以下の処理を実行する。その場合、出現割合補正部１３０は、前述のｋ－匿名性を継承し、かつその差異がより小さくなるような、匿名化データセット９１０に含まれる検出済みの匿名化データレコード９１１以外の、匿名化データレコード９１１を検出する。続けて、本実施形態の出現割合補正部１３０は、その匿名化データレコード９１１に対応する、元データセット８１０の元データレコード８１１を削除し、更新元データセット８３０を生成する。

　次に本実施形態の動作について、図１及び図１１～図１５を参照して詳細に説明する。

　図１４及び図１５は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。

　図１４のＳ６０１からＳ６０５までの動作は、図７に示すＳ６０１からＳ６０５までの動作と同等である。

　範囲内でない場合、出現割合補正部１３０は、元出現割合と匿名化出現割合との差異がより小さくなるような匿名化データレコード９１１を検出する。続けて、出現割合補正部１３０は、その検出した匿名化データレコード９１１に対応する元データレコード８１１を削除して更新元データセット８３０を生成する（Ｓ６３１）。

　次に、ｋ－匿名化部１１０は、更新元データセット８３０を匿名化し、更新匿名化データセット９３０を生成する（Ｓ６３２）。

　次に、維持状態判定部１２０は、更新匿名化データセット９３０における、その対象準識別子の更新匿名化出現割合を算出する（Ｓ６３３）。

　次に、維持状態判定部１２０は、元出現割合と更新匿名化出現割合との差異が割合差異閾値の範囲内か否かを判定する（Ｓ６３４）。

　範囲内である場合、維持状態判定部１２０は、更新匿名化データセット９３０を出力する（Ｓ６３５）。そして、処理は終了する。

　範囲内でない場合、出現割合補正部１３０は、匿名化データセット９１０から、未だ検出していない、元出現割合と更新匿名化出現割合との差異がより小さくなるような他の有効な匿名化データレコード９１１を検出する。続けて、出現割合補正部１３０は、検出した匿名化データレコード９１１に対応する元データレコード８１１を削除し、更新元データセット８３０を再度生成する（Ｓ６３６）。そして、処理はＳ６３２へ戻る。

　尚、無効レコード削除部２４０は、本実施形態に適用されてもよい。この場合、匿名化装置１００は、匿名化データセット９２０を出力する。具体的には、本実施形態のｋ－匿名化部１１０、維持状態判定部１２０及び出現割合補正部１３０の動作は、例えば以下の点を除いて、図１４及び図１５に示す動作と同等であってよい。それは、第１に、図１４に示すＳ６０５の動作が、図１０に示すＳ６２６及びＳ６２７の動作に変わる点である。また、第２に、図１５に示すＳ６３５の動作が、図１０に示すＳ６２６及びＳ６２７の動作に変わる点である。

　上述した本実施形態における効果は、第１の実施形態の効果と同様である。

　その理由は、第１の実施形態と同等の各構成要素が、第１の実施形態とは異なる動作で、匿名化データセット９１０または更新匿名化データセット９３０を出力するようにしたからである。
＜＜第４の実施形態＞＞
　次に、本発明の第４の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

　図１６は、本実施形態に係る匿名化装置４００の構成を示すブロック図である。

　図１６に示すように本実施形態の匿名化装置４００は、第１の実施形態の匿名化装置１００に比べて、状態判定部１２０に替えて維持状態判定部４２０を、出現割合補正部１３０に替えて出現割合補正部４３０を含む。

　＝＝＝維持状態判定部４２０＝＝＝
　第１に、本実施形態の維持状態判定部４２０は、元データセット８１０に含まれる特定の元データレコード８１１における、対象準識別子について、それの属性値の出現割合である元出現割合を算出する。ここで、「特定の元データレコード８１１」は、その対象準識別子以外の属性が、ある特定の属性値（以後、注目属性値とと呼ぶ）を含む、元データレコード８１１である。

　維持状態判定部４２０は、例えば、図６に示す入力部７０４を介してオペレータが入力した、注目属性値を取得する。維持状態判定部４２０は、図６に示す通信部７０６を介して図示しない外部装置から、注目属性値を取得してもよい。維持状態判定部４２０は、図６に示す記録媒体７０７に記憶されている、注目属性値を取得してもよい。また、維持状態判定部４２０は、匿名化装置１００の図示しない記憶手段に予め記憶されている、注目属性値を取得してもよい。

　第２に、本実施形態の維持状態判定部４２０は、特定の匿名化データレコード９１１における、その対象準識別子の属性値の出現割合である匿名化出現割合を算出する。その特定の匿名化データレコード９１１は、匿名化データセット９１０に含まれる有効な匿名化データレコード９１１であって、その注目属性値を含む。

　第３に、維持状態判定部４２０は、それらの属性値のそれぞれの、その元出現割合とその匿名化出現割合との差異が割合差異閾値未満であるか否かを判定する。そして、その差異がその割合差異閾値未満である場合に、匿名化データセット９１０を出力する。

　以上の点を除き、維持状態判定部４２０は、図１に示す維持状態判定部１２０と同等である。

　＝＝＝出現割合補正部４３０＝＝＝
　出現割合補正部４３０は、その元出現割合とその匿名化出現割合との差異がその割合差異閾値以上である場合に、以下の処理を実行する。その場合、出現割合補正部４３０は、前述のｋ－匿名性を継承し、かつその差異がより小さくなるように、匿名化データセット９１０に含まれる、その注目属性値を含む、匿名化データレコード９１１を削除する。

　以上の点を除き、出現割合補正部４３０は、図１に示す出現割合補正部１３０と同等である。

　以上説明したように、本実施形態の匿名化装置４００は、例えば、注目属性値が「２０歳台」である場合、２０歳台における対象準識別子について、匿名化処理前のデータの統計的性質を匿名化処理後のデータにおいて維持することができる。

　尚、本実施形態の匿名化装置４００は、無効レコード削除部２４０を含んでもよい。換言すると、第２の実施形態の匿名化装置２００が、図８に示す維持状態判定部１２０に替えて維持状態判定部４２０を、出現割合補正部１３０に替えて出現割合補正部４３０を含んでもよい。

　また、本実施形態の匿名化装置４００は、第３の実施形態の匿名化装置１００の動作を、維持状態判定部４２０及び出現割合補正部４３０に実行させてもよい。

　上述した本実施形態における効果は、第１の実施形態の効果に加えて、より利用に適したデータを出力することが可能になる点である。

　その理由は、維持状態判定部４２０及び出現割合補正部５３０が、注目属性値を利用して、処理を行うからである。
＜＜第５の実施形態＞＞
　次に、本発明の第５の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

　図１７は、本発明の第５の実施形態に係る匿名化装置５００の構成を示すブロック図である。

　図１７を参照すると、本実施形態における匿名化装置５００は、第１の実施形態の匿名化装置１００と比べて、割合差異閾値変更部５５０を更に含む。

　＝＝＝割合差異閾値変更部５５０＝＝＝
　割合差異閾値変更部５５０は、匿名化データセット９１０に含まれるいずれの有効レコードを削減しても、ｋ－匿名性を継承し、かつ差異を割合差異閾値未満にすることができないことを検出した場合に、割合差異閾値を変更する。

　例えば、匿名化装置５００は、変更された割合差異閾値を利用して、匿名化データセット９１０を再度生成する処理を実行してよい。

　また、割合差異閾値変更部５５０は、図６に示す出力部７０５を介して、変更した割合差異閾値を出力にしてもよい。

　尚、割合差異閾値変更部５５０は、第１乃至第４の実施形態に適用してもよい。

　上述した本実施形態における効果は、第１の実施形態の効果に加えて、割合差異閾値が適切でない場合でも、匿名化装置５００の利用を容易にすることが可能になる点である。

　その理由は、割合差異閾値変更部５５０が、差異を割合差異閾値未満にできないことを検出した場合に、割合差異閾値を変更するようにしたからである。

　以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、各構成要素は、複数の構成要素が１個のモジュールとして実現されてよい。また、各構成要素は、１つの構成要素が複数のモジュールで実現されてもよい。また、各構成要素は、ある構成要素が他の構成要素の一部であるような構成であってよい。また、各構成要素は、ある構成要素の一部と他の構成要素の一部とが重複するような構成であってもよい。

　以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ、可能であれば、ハードウェア的に実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、コンピュータ及びプログラムで実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、ハードウェア的なモジュールとコンピュータ及びプログラムとの混在により実現されてもよい。

　そのプログラムは、例えば、磁気ディスクや半導体メモリなど、不揮発性のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。

　また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障をきたさない範囲で変更することができる。

　更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生したり、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複していたりしていてもよい。

　更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との全ての関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障をきたさない範囲内で変更されてよい。

　以上、各実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しえる様々な変更をすることができる。

　この出願は、２０１３年３月６日に出願された日本出願特願２０１３－０４３９３４を基礎とする優先権を主張し、その開示の全てをここに取り込む。

　本発明は、プライバシー情報、匿名情報などを扱う情報処理システム、情報処理装置などに適用できる。例えば、本発明は、二次利用に供される個人情報の匿名化処理を行う情報処理システム、情報処理装置などにも適用できる。

　１００　　匿名化装置
　１０１　　情報処理システム
　１１０　　ｋ－匿名化部
　１２０　　維持状態判定部
　１３０　　出現割合補正部
　２００　　匿名化装置
　２４０　　無効レコード削除部
　４００　　匿名化装置
　４２０　　維持状態判定部
　４３０　　出現割合補正部
　５００　　匿名化装置
　５５０　　割合差異閾値変更部
　７００　　コンピュータ
　７０１　　ＣＰＵ
　７０２　　記憶部
　７０３　　記憶装置
　７０４　　入力部
　７０５　　出力部
　７０６　　通信部
　７０７　　記録媒体
　８００　　元データ記憶装置
　８１０　　元データセット
　８１１　　元データレコード
　８３０　　更新元データセット
　９００　　匿名化データ記憶装置
　９１０　　匿名化データセット
　９１１　　匿名化データレコード
　９１２　　更新匿名化データセット
　９２０　　削除後匿名化データセット
　９３０　　更新匿名化データセット

Claims (10)

1. 　準識別子を含む複数のデータレコードを含む第１のデータセットについて、前記準識別子を加工して所定の匿名性を有する第２のデータセットを生成する匿名化手段と、
   　特定の１つの前記準識別子である対象準識別子について、前記第１のデータセットに含まれるデータレコードにおける前記対象準識別子の属性値の出現割合である第１の出現割合と、前記第２のデータセットに含まれる、前記対象準識別子の情報損失量が許容範囲内のデータレコードである、有効レコードにおける前記対象準識別子の属性値の出現割合である第２の出現割合との差異が割合差異閾値未満である場合に、前記第２のデータセットを出力する維持状態判定手段と、
   　前記差異が前記割合差異閾値以上である場合に、前記所定の匿名性を継承し、かつ前記差異がより小さくなるように、前記第２のデータセットに含まれる有効レコードを削減する出現割合補正手段と、を含む、
   　情報処理装置。
2. 　前記対象準識別子の前記情報損失量が許容範囲外のデータレコードである、無効レコードを削除した前記第２のデータセットを出力する無効レコード削除手段を含む、
   　ことを特徴とする請求項１記載の情報処理装置。
3. 　前記出現割合補正手段は、前記差異が前記割合差異閾値以上である場合に、前記差異がより小さくなるように、前記第２のデータセットに含まれる有効レコードを削除する
   　ことを特徴とする請求項１または２記載の情報処理装置。
4. 　前記出現割合補正手段は、前記差異が前記割合差異閾値以上である場合に、前記差異がより小さくなるように、前記第２のデータセットに含まれる有効レコードに対応する前記第１のデータセットに含まれるデータレコードを削除し、
   　前記匿名化手段は、前記データレコードを削除された第１のデータセットについて、前記準識別子を加工して所定の匿名性を有する新たな第２のデータセットを生成し、
   　前記維持状態判定手段は、前記データレコードを削除された第１のデータセットに含まれるデータレコードにおける前記第１の出現割合と、前記新たな第２のデータセットに含まれる、前記有効レコードにおける前記第２の出現割合との差異が割合差異閾値未満である場合に、前記新たな第２のデータセットを出力する、
   　ことを特徴とする請求項１乃至３のいずれか１項に記載の情報処理装置。
5. 　前記維持状態判定手段は、前記対象準識別子以外の属性の特定の属性値である注目属性値を含む前記レコードにおける前記第１の出現割合と、前記注目属性値を含む前記有効レコードにおける、前記第２の出現割合との差異が前記割合差異閾値未満である場合に、前記第２のデータセットを出力し、
   　前記出現割合補正手段は、前記差異が前記割合差異閾値以上である場合に、前記差異がより小さくなるように、前記第２のデータセットに含まれる、前記注目属性値を含む、前記有効レコードを削減して、前記出現割合を補正する
   　ことを特徴とする請求項１または２記載の情報処理装置。
6. 　前記出現割合補正手段は、前記差異が前記割合差異閾値以上である場合に、前記差異がより小さくなるように、前記第２のデータセットに含まれる、前記注目属性値を含む、有効レコードを削除する
   　ことを特徴とする請求項５記載の情報処理装置。
7. 　前記出現割合補正手段は、前記差異が前記割合差異閾値以上である場合に、前記差異がより小さくなるように、前記第２のデータセットに含まれる、前記注目属性値を含む、有効レコードに対応する前記第１のデータセットに含まれるデータレコードを削除し、
   　前記匿名化手段は、前記データレコードを削除された第１のデータセットについて、前記準識別子を加工して所定の匿名性を有する新たな第２のデータセットを生成し、
   　前記維持状態判定手段は、前記第１のデータセットに含まれる、前記第２の属性値を含む、前記レコードにおける前記第１の出現割合と、前記第２のデータセットに含まれる、前記注目属性値を含む、前記有効レコードにおける前記第２の出現割合との差異が割合差異閾値未満である場合に、前記新たな第２のデータセットを出力する、
   　ことを特徴とする請求項５または６記載の情報処理装置。
8. 　前記第２のデータセットに含まれるいずれの有効レコードを削減しても、前記所定の匿名性を継承し、かつ前記差異を前記割合差異閾値未満にすることができないことを検出した場合に、前記割合差異閾値を変更する割合差異閾値変更手段を更に含む
   　ことを特徴とする請求項１乃至７のいずれか１項に記載の情報処理装置。
9. 　コンピュータが、
   　準識別子を含む複数のデータレコードを含む第１のデータセットについて、前記準識別子を加工して所定の匿名性を有する第２のデータセットを生成し、
   　特定の１つの前記準識別子である対象準識別子について、前記第１のデータセットに含まれるデータレコードにおける前記対象準識別子の属性値の出現割合である第１の出現割合と、前記第２のデータセットに含まれる、前記対象準識別子の情報損失量が許容範囲内のデータレコードである、有効レコードにおける前記対象準識別子の属性値の出現割合である第２の出現割合との差異が割合差異閾値未満である場合に、前記第２のデータセットを出力し、
   　前記差異が前記割合差異閾値以上である場合に、前記所定の匿名性を継承し、かつ前記差異がより小さくなるように、前記第２のデータセットに含まれる有効レコードを削減する
   　匿名化方法。
10. 　準識別子を含む複数のデータレコードを含む第１のデータセットについて、前記準識別子を加工して所定の匿名性を有する第２のデータセットを生成する処理と、
    　特定の１つの前記準識別子である対象準識別子について、前記第１のデータセットに含まれるデータレコードにおける前記対象準識別子の属性値の出現割合である第１の出現割合と、前記第２のデータセットに含まれる、前記対象準識別子の情報損失量が許容範囲内のデータレコードである、有効レコードにおける前記対象準識別子の属性値の出現割合である第２の出現割合との差異が割合差異閾値未満である場合に、前記第２のデータセットを出力する処理と、
    　前記差異が前記割合差異閾値以上である場合に、前記所定の匿名性を継承し、かつ前記差異がより小さくなるように、前記第２のデータセットに含まれる有効レコードを削減する処理と、をコンピュータに実行させる
    　プログラムを記録したコンピュータ読み取り可能な非一時的記録媒体。

Images