特許 6046807 情報保護システム、情報保護方法及び情報保護プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6046807

(24)【登録日】2016年11月25日

(45)【発行日】2016年12月21日

(54)【発明の名称】情報保護システム、情報保護方法及び情報保護プログラム

(51)【国際特許分類】

   H04L 9/32 20060101AFI20161212BHJP

   G06F 21/62 20130101ALI20161212BHJP

【ＦＩ】

   H04L9/00 673C

   G06F21/62 354

【請求項の数】9

【全頁数】21

(21)【出願番号】特願2015-513927(P2015-513927)

(86)(22)【出願日】2014年7月22日

(86)【国際出願番号】JP2014069322

(87)【国際公開番号】WO2016013057

(87)【国際公開日】20160128

【審査請求日】2015年3月13日

(73)【特許権者】

【識別番号】000233491

【氏名又は名称】株式会社日立システムズ

(74)【代理人】

【識別番号】110000062

【氏名又は名称】特許業務法人第一国際特許事務所

(72)【発明者】

【氏名】津嶋 紀宏

(72)【発明者】

【氏名】吉野 雅之

【審査官】 青木 重徳

(56)【参考文献】

【文献】 米国特許出願公開第２０１２／００１１５９１（ＵＳ，Ａ１）

【文献】 国際公開第２０１２／０６３５４６（ＷＯ，Ａ１）

【文献】 国際公開第２０１２／０９０６２８（ＷＯ，Ａ１）

【文献】 国際公開第２０１４／００７０４９（ＷＯ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／３２

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

操作端末とネットワークを介して接続する、ｋ−匿名化処理装置におけるｋ値の時間依存評価シミュレーション装置を含む情報保護システムであって、
前記ｋ値の時間依存評価シミュレーション装置は、
ＣＰＵと、前記操作端末から送信される準識別子情報を含む元データ（ｔ＝ｔ）を格納する個人情報記憶装置と、
判定結果を表示する表示装置と、
前記ネットワークとの通信接続を制御する通信装置と、
シミュレーション管理装置を備え、
前記ＣＰＵは、
前記元データ（ｔ＝ｔ）ないし時間（ｔ＝ｔ＋ｎ）でのデータセットにおけるｋ−匿名化処理を行うｋ−匿名化処理装置と、
当該ｋ−匿名化処理装置の処理結果が妥当であるかを判定する判定装置と、を有し、
前記シミュレーション管理装置は、
前記操作端末を用いてシミュレーション実行者により定義された前記元データでの準識別子情報を管理する準識別子管理装置と、
前記準識別子情報、当該準識別子情報の時間発展によるｋ値の分布を計算する計算式、時間発展の開始年を含むシミュレーション実行条件内容を管理するシミュレーション定義装置と、
前記シミュレーション実行条件内容に基づき時間発展された準識別子を含むデータセット（ｔ＝ｔ＋ｎ）を生成する時間発展データセット生成装置と、
を有し、前記元データおよび前記データセットデータにおけるｔ、ｎは、時間を示し、当該ｎは、０を含まない整数または小数であり、
前記ｋ値の時間依存評価シミュレーション装置は、
前記シミュレーション実行条件内容から実際に実行するシュミュレーションがシミュレーション実行者により決定されたとき、
前記時間展開データセット装置において、前記シミュレーション実行条件内容における計算式で時間発展に伴うデータセット（ｔ＝ｔ＋ｎ）を時間展開データセットとし生成し、
前記ｋ−匿名化処理装置において、前記時間展開データセット装置より生成された時間展開データセットに対して前記準識別子情報の一般化単位を用いてｋ−匿名化処理を実行し、
前記判定装置において、前記ｋ−匿名化処理装置よりｋ−匿名化された時間展開データセットにおける一般単位毎のｋ値が予め設定した基準値を満足するかを判定し、
前記評価装置で前記ｋ−匿名化処理装置によりｋ−匿名化されたデータセットにおける準識別子の一般化単位が妥当であるかを評価し、
前記表示装置において、前記評価装置による評価結果を表示する
ことを特徴とする情報保護システム。

【請求項2】

請求項１記載の情報保護システムであって、
前記計算式は、複数の準識別子情報を、それぞれ時間発展させるものであり、当該準識別子情報に対応する複数の計算式からなり、
前記シミュレーション管理装置は、
前記複数の準識別子情報で相関関係がある準識別子情報を選択し、
選択された準識別子情報に対応する計算式で時間発展に伴うデータセットを生成し、
生成されたデータセットでのｋ値が予め設定した基準値を満足するかを判定し、
準識別子情報の一般化単位が妥当であるかを評価する
ことを特徴とする情報保護システム。

【請求項3】

請求項１記載の情報保護システムであって、前記シミュレーション管理装置は、
時間発展に伴うデータセットの生成で使用した準識別子情報を一般化単位で複数の領域に分割し、
前記分割した領域を組み合わせて作成したセル内のｋ値を算出し、
前記算出したｋ値と予め設定した基準値とを比較して基準値を満足しないセルを抽出する
ことを特徴とする情報保護システム。

【請求項4】

請求項１記載の情報保護システムであって、前記シミュレーション管理装置は、異なる２つ以上の時間発展シミュレーションを実行する
ことを特徴とする情報保護システム。

【請求項5】

請求項４記載の情報保護システムであって、前記シミュレーション管理装置は、準識別子情報の計算式を２つ以上設定可能である
ことを特徴とする情報保護システム。

【請求項6】

請求項１記載の情報保護システムであって、前記情報保護システムは更に表示装置を備え、当該表示装置に前記元データセット、前記時間発展データセット、前記判定装置での判定結果のいずれか１つ以上を表示する
ことを特徴とする情報保護システム。

【請求項7】

請求項１記載の情報保護システムであって、前記情報保護システムは、前記ｋ値が前記基準値を満足しない場合、前記時間発展開始年ないし前記一般化単位を変更して時間発展シミュレーションを行う
ことを特徴とする情報保護システム。

【請求項8】

操作端末とネットワークを介して接続する、ｋ−匿名化処理装置におけるｋ値の時間依存評価シミュレーション装置を含む情報保護システムの情報保護方法であって、
前記ｋ値の時間依存評価シミュレーション装置は、
ＣＰＵと、前記操作端末から送信される準識別子情報を含む元データ（ｔ＝ｔ）を格納する個人情報記憶装置と、
判定結果を表示する表示装置と、
前記ネットワークとの通信接続を制御する通信装置と、
シミュレーション管理装置を備え、
前記ＣＰＵは、
前記元データ（ｔ＝ｔ）ないし時間（ｔ＝ｔ＋ｎ）でのデータセットにおけるｋ−匿名化処理を行うｋ−匿名化処理装置と、
当該ｋ−匿名化処理装置の処理結果が妥当であるかを判定する判定装置と、を有し、
前記シミュレーション管理装置は、
前記操作端末を用いてシミュレーション実行者により定義された前記元データでの準識別子情報を管理する準識別子管理装置と、
前記準識別子情報、当該準識別子情報の時間発展によるｋ値の分布を計算する計算式、時間発展の開始年を含むシミュレーション実行条件内容を管理するシミュレーション定義装置と、
前記シミュレーション実行条件内容に基づき時間発展された準識別子を含むデータセット（ｔ＝ｔ＋ｎ）を生成する時間発展データセット生成装置と、
を有し、前記元データおよび前記データセットデータにおけるｔ、ｎは、時間を示し、当該ｎは、０を含まない整数または小数であり、
前記ｋ値の時間依存評価シミュレーション装置は、
前記シミュレーション実行条件内容から実際に実行するシュミュレーションがシミュレーション実行者により決定されたとき、
前記時間展開データセット装置において、前記シミュレーション実行条件内容における
計算式で時間発展に伴うデータセット（ｔ＝ｔ＋ｎ）を時間展開データセットとし生成するステップと、
前記ｋ−匿名化処理装置において、前記時間展開データセット装置より生成された時間展開データセットに対して前記準識別子情報の一般化単位を用いてｋ−匿名化処理を実行するステップと、
前記判定装置において、前記ｋ−匿名化処理装置よりｋ−匿名化された時間展開データセットにおける一般単位毎のｋ値が予め設定した基準値を満足するかを判定するステップと、
前記評価装置で前記ｋ−匿名化処理装置によりｋ−匿名化されたデータセットにおける準識別子の一般化単位が妥当であるかを評価するステップと、
前記表示装置において、前記評価装置による評価結果を表示するステップと、
を有することを特徴とする情報保護方法。

【請求項9】

操作端末とネットワークを介して接続する、ｋ−匿名化処理装置におけるｋ値の時間依存評価シミュレーション装置を含む情報保護システム上で動作する情報保護プログラムであって、
前記ｋ値の時間依存評価シミュレーション装置は、
ＣＰＵと、前記操作端末から送信される準識別子情報を含む元データ（ｔ＝ｔ）を格納する個人情報記憶装置と、
判定結果を表示する表示装置と、
前記ネットワークとの通信接続を制御する通信装置と、
シミュレーション管理装置を備え、
前記ＣＰＵは、
前記元データ（ｔ＝ｔ）ないし時間（ｔ＝ｔ＋ｎ）でのデータセットにおけるｋ−匿名化処理を行うｋ−匿名化処理装置と、
当該ｋ−匿名化処理装置の処理結果が妥当であるかを判定する判定装置と、を有し、
前記シミュレーション管理装置は、
前記操作端末を用いてシミュレーション実行者により定義された前記元データでの準識別子情報を管理する準識別子管理装置と、
前記準識別子情報、当該準識別子情報の時間発展によるｋ値の分布を計算する計算式、時間発展の開始年を含むシミュレーション実行条件内容を管理するシミュレーション定義装置と、
前記シミュレーション実行条件内容に基づき時間発展された準識別子を含むデータセット（ｔ＝ｔ＋ｎ）を生成する時間発展データセット生成装置と、
を有し、前記元データおよび前記データセットデータにおけるｔ、ｎは、時間を示し、当該ｎは、０を含まない整数または小数であり、
前記情報保護プログラムは、
前記シミュレーション実行条件内容から実際に実行するシュミュレーションがシミュレーション実行者により決定されたとき、
前記時間展開データセット装置において、前記シミュレーション実行条件内容における計算式で時間発展に伴うデータセット（ｔ＝ｔ＋ｎ）を時間展開データセットとし生成する機能と、
前記ｋ−匿名化処理装置において、前記時間展開データセット装置より生成された時間展開データセットに対して前記準識別子情報の一般化単位を用いてｋ−匿名化処理を実行する機能と、
前記判定装置において、前記ｋ−匿名化処理装置よりｋ−匿名化された時間展開データセットにおける一般単位毎のｋ値が予め設定した基準値を満足するかを判定する機能と、
前記評価装置で前記ｋ−匿名化処理装置によりｋ−匿名化されたデータセットにおける準識別子の一般化単位が妥当であるかを評価する機能と、
前記表示装置において、前記評価装置による評価結果を表示する機能と、
を有することを特徴とする情報保護プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報保護システム、情報保護方法及び情報保護プログラムに関する。

【0002】

特に、本発明はｋ−匿名化処理を実行する情報処理装置を用いて時間依存性のある元データを所定の時間間隔でｋ−匿名化処理を実行する運用環境で、準識別子の一般化単位を設定する方法において、準識別子の時間依存性に着目して、準識別子の一般化単位を適切に設定することが可能な情報保護システムである。本情報保護システムは、準識別子の時間依存性の相関関係を管理して時間をシミュレーションすることで一般化単位の設定最適化を実現するｋ−匿名化シミュレーション機能を有する情報保護システム、情報保護方法及び情報保護プログラムに関する。

【背景技術】

【0003】

元データから「ｋ」人以下の識別を困難にする「ｋ−匿名性」を実現する「ｋ−匿名化」処理をするサーバ装置において、元データの項目は「識別子」、「準識別子」、「その他情報」に分けられる。匿名化とは、ユーザを特定できないよう個人情報（プライバシ情報）を加工する処理のことである。また、匿名性の指標として「ｋ−匿名化」が知られている。これは、「準識別子」を持つユーザにおける公開されたくない情報の組合せで、同じ組合せに属する人数をｋ人以上存在させることで、ユーザが特定される可能性を１/ｋ以下にしてユーザ特定を困難する技術である。この「ｋ−匿名化」に関する技術として、特許文献１及び非特許文献１がある。

【0004】

また、「元データ」は「パーソナル情報」と呼ばれるデータセットの場合が多い。「パーソナル情報」とは、従来の個人情報保護法で定義された個人情報に、法令化はされていないがプライバシの考えも含んだデータである。

【0005】

「元データ（パーソナル情報）」における「識別子」、「準識別子」、「その他情報」の分類は、例えば、非特許文献１に示す「パーソナル情報保護・解析基盤の開発・改良と検証」に関する報告書で定義されている。そのうち、「準識別子」の「一般化処理」と言われる処理がある。「一般化処理」とは、「年齢」を「年代」、「完全な住所」を「地域」に変換するなど、「準識別子」の値の抽象化を行うことで、それらの組み合わせに属する対象者（例えば、「年代」と「地域」）を「ｋ」人以下に識別できなくすることで「ｋ−匿名性」を実現する処理である。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】ＰＣＴ国際公開ＷＯ２０１２／０９０６２８号公報

【非特許文献】

【0007】

【非特許文献1】「平成２１年度経済産業省 情報大航海プロジェクト（基盤共通技術の開発・改良と検証） パーソナル情報保護・解析基盤の開発・改良と検証 基盤利用マニュアル」平成２２年３月（株）日立コンサルティング発行

【発明の概要】

【発明が解決しようとする課題】

【0008】

従来は上記文献の様に、時間発展するデータセットに対して、「ｋ−匿名化」処理において準識別子の一般化単位を決める場合、ある時刻においてレコード数及び情報量を最大限残す事を目的としたアルゴリズムで処理されている。しかし、将来のデータセットの状態を予測して一般化単位を設定するという発想はなく、技術も確立されてない。

【0009】

特許文献１では、時間発展する位置情報に含まれる測位データという準識別子に対して、一般化単位（抽象度）が高くなりすぎることを抑制するため、抽象度が所定の基準値を超えた場合には、アドホック（限定目的）に測位時間を分割している。すなわち、特許文献１では、時間発展（リアルタイム追加）する準識別子（位置情報）の一般化単位（抽象度）を、単位（抽象度）が大きくなることの防止する手段として「単位（抽象度）を分割」する方法を開示している。しかしながら、特許文献１では「一般化単位（抽象度）が大きくなったらその一般化単位を分割する」という技術を開示しているが、「計画的に単位を設定（変更）する」という技術は開示されていない。そのため、情報量を残すことだけを目的とした場合、一般化単位が合わない可能性が生じる。従って匿名化されたデータセットの分析が継続できなくなるという問題点がある。そこで、本発明は、匿名化されたデータセットの分析を継続させることができる情報保護システムを提供することにある。

【課題を解決するための手段】

【0010】

上記課題を解決するために、本発明の情報保護システムは、準識別子を有するデータセットにおいて、時間発展する準識別子の計算式を管理して、ｋ−匿名化処理の時間発展シミュレーションを実行できる手段を設けた。例えば、本発明は以下のとおりである。

【0011】

情報保護システムは、準識別子を有するデータセット（パーソナル情報）に対し時間発展と共にｋ−匿名化処理を実行するシステムで、準識別子の時間発展によるｋ値の分布を計算する計算式を有し、計算式で時間発展に伴うデータセットを生成し、生成されたデータセットでのｋ値が予め設定した基準値を満足するかを判定し、準識別子の一般化単位が妥当であるかを評価することを特徴とする。

【0012】

情報保護システムは、準識別子を有するデータセットにおいて、時間発展する複数の準識別子の計算式を有し、複数の準識別子で相関関係がある準識別子を選択し、選択された準識別子の計算式で、時間発展に伴うデータセットを生成し、生成されたデータセットでのｋ値が予め設定した基準値を満足するかを判定し、準識別子の一般化単位が妥当であるかを評価することを特徴とする。

【0013】

情報保護システムは、時間発展に伴うデータセットの生成で使用した準識別子の一般化単位で分割し、分割した領域を組み合わせて作成したセル内のｋ値を算出し、算出したｋ値と予め設定した基準値とを比較し、基準値を満足しないセルを抽出することを特徴とする。

【0014】

情報保護システムは、異なる２つ以上の時間発展シミュレーションを実行でき、準識別子の計算式を２つ以上設定することが可能であることを特徴とする。

【発明の効果】

【0015】

本発明の情報保護システムでは、元データで設定した準識別子の一般化単位が「ｋ」の値を担保（満足）しているとしても、数年後にその一般化単位の設定が有効にｋ値を満足できているか否かを評価できる。

【0016】

また、数年後に元データで設定した一般化単位で必要とする「ｋ」の値を満足できない場合でも、予め一般化単位を、元データに対し数年後のシミュレーションしたデータセットでも満足できるように設定しておくことで、数年後に一般化単位変更をするという従来方法によって生じるデータ単位の不整合も、未然に防げる。

【0017】

更に、一般化単位に不整合が生じると、例えば分析の軸の単位が異なることに起因して、継続した分析結果比較ができないなどという問題が生じるが、数年後のデータセットをシミュレーションすることで予め一般化単位を数年後でも変わらないように設定することが可能となり、データの可用性を向上させられる。なお、前述以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0018】

【図1】図１は、ｋ−匿名化処理におけるｋ値の時間依存評価シミュレーション機能を実現する情報保護システムの構成図である。

【図2】図２は、各データの構造と、データ間の関連性を示す対応図である。

【図3】図３は、元データテーブルの構成例を示す図である。

【図4】図４は、準識別子管理マスタ（ＪＳＭ）テーブルの構成例を示す図である。

【図5】図５は、シミュレーション定義マスタ（ＳＤＭ）テーブルの構成例を示す図である。

【図6】図６は、シミュレーションジャーナルテーブル（ＳＪＴ）の構成例を示す図である。

【図7】図７は、ｋ−匿名化処理におけるｋ値の時間依存評価シミュレーションの全体処理を示すフローチャートである。

【図8】図８は、準識別子の選択・登録処理を示すフローチャートである。

【図9】図９は、実行するシミュレーション内容の設定処理を示すフローチャートである。

【図10】図１０は、シミュレーション実行処理を示すフローチャートである。

【図11】図１１は、ｎ年後のデータセットの生成処理を示すフローチャートである。

【図12】図１２は、一般化単位を３歳とし年齢を変化させた場合のシミュレーション実行結果を示す図である。

【図13】図１３は、一般化単位を５歳とし年齢を変化させた場合のシミュレーション実行結果を示す図である。

【図14】図１４は、年齢及び住居年数を変化させ一般化単位をそれぞれ５歳とした場合のシミュレーション実行前の状態を示す図である。

【図15】図１５は、年齢及び住居年数を変化させ一般化単位をそれぞれ５歳とした場合のシミュレーション実行後の状態を示す図である。

【発明を実施するための形態】

【0019】

以下、図面を参照しながら実施の形態を説明する。なお、以下の説明では、「管理テーブル」等の表現にて各種情報を説明することがあるが、各種情報は、テーブル以外のデータ構造で表現されていてもよい。また、データ構造に依存しないことを示すために「管理テーブル」を「管理情報」と呼ぶことができる。

【0020】

また、「プログラム」を主語として処理を説明する場合がある。そのプログラムは、プロセッサ、例えば、ＭＰ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｏｒ）やＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）によって実行されるもので、定められた処理をするものである。なお、適宜に記憶資源（例えばメモリ）及び通信インターフェース装置（例えば、通信ポート）を用いながら行うため、処理の主語がプロセッサとされてもよい。プロセッサは、ＣＰＵの他に専用ハードウェアを有していても良い。コンピュータプログラムは、プログラムソースから各コンピュータにインストールされても良い。プログラムソースは、例えば、プログラム配布サーバ又は記憶メディアなどで提供されるものであっても良い。

【0021】

また、各要素、例えば、コントローラは番号などで識別可能であるが、識別可能な情報であれば、名前など他種の識別情報が用いられても良い。本実施例の図及び説明において同一部分には同一符号を付与しているが、本発明が本実施例に制限されることは無く、本発明の思想に合致するあらゆる応用例が本発明の技術的範囲に含まれる。また、特に限定しない限り、各構成要素は複数でも単数でも構わない。

【0022】

＜システム構成＞図１
図１は、ｋ−匿名化処理におけるｋ値の時間依存評価シミュレーション機能を実現する情報保護システムの構成図である。情報保護システムは、ｋ値の時間依存評価シミュレーション装置（評価シミュレーション装置と略す）１と、ネットワーク１０１を介して評価シミュレーション装置１と接続する操作端末１００から構成される。

【0023】

また、評価シミュレーション装置１は、シミュレーション管理装置１０、ＣＰＵ-ａ１１、記憶装置ａ１２、ネットワーク１０１との通信接続を制御する通信装置１３、ｋ−匿名化処理の結果や判定結果及びシミュレーション状況を確認するための表示装置１４を備える。

【0024】

また、ＣＰＵ-ａ１１は、元データないし時間ｔ＝ｔ＋ｎ（ｎ：０以上の整数）でのデータセットにおけるｋ−匿名化処理を行うｋ−匿名化処理装置１０５と、ｋ−匿名化処理装置１０５の処理結果が妥当であるかを判定する判定装置１１４を備える。記憶装置ａ１２には、元データ（時間ｔ＝ｔ）３０を格納する元データ（時間ｔ＝ｔ）格納用記憶媒体（メモリやＨＤＤ）を備える。

【0025】

シミュレーション管理装置１０は、ＣＰＵ-ｂ１５と記憶装置ｂ１６を備える。ＣＰＵ-ｂ１５は、データセット（時間ｔ＝ｔ＋ｎ）１０８を生成し管理するデータセット（時間ｔ＝ｔ＋ｎ）生成装置１０７、実行するシミュレーション内容を定義し管理するシミュレーション定義装置１０９、定義された準識別子を管理する準識別子管理装置１１２を備える。

【0026】

記憶装置ｂは、データセット（時間ｔ＝ｔ＋ｎ）１０８を格納するデータセット（時間ｔ＝ｔ＋ｎ）格納用記憶媒体、シミュレーション定義マスタ５０の情報を格納するシミュレーション定義マスタ格納用記憶媒体、シミュレーションジャーナル６０の情報を格納するシミュレーションジャーナル格納用記憶媒体、準識別子管理マスタ４０の情報を格納する準識別子管理マスタ格納用記憶媒体を備える。これら記憶媒体はメモリやＨＤＤなどである。

【0027】

シミュレーション実行者は、操作者端末１００を用いて、ネットワーク１０１を介して、ｋ−匿名化処理装置１０５の処理結果を表示装置１４で確認する。処理結果は、判定装置１１４によって妥当かどうかが判定され、その判定結果も表示装置１４に表示される。なお、処理結果や判定結果を操作者端末１００が取得し、操作者端末１００の表示部（図示せず）に表示させてもよい。

【0028】

従来技術では、元データ（時間ｔ＝ｔ）３０をｋ−匿名化処理装置１０５で匿名化処理して、その処理結果を表示装置１４で表示させていただけであった。このｋ−匿名化処理装置１０５は、前述の非特許文献１に記載されている構成を用いてよいし、他の構成でもよい。なお、ｋ−匿名化処理内容は一般に知られているもので、その例として非特許文献１や特許文献１に記載のものがある。

【0029】

一方、シミュレーション実行者は、操作者端末１００を用いて、元データ（時間ｔ＝ｔ）３０での準識別子を定義する。操作者端末１００は、定義された準識別子の情報を受け付けて、ネットワーク１０１経由で評価シミュレーション装置１に送信する。評価シミュレーション装置１は、受信した準識別子の情報を、準識別子管理装置１１２に送る。準識別子管理装置１１２は、受信した準識別子の情報を準識別子管理マスタ４０に格納するとともに、シミュレーション定義装置１０９に送る。

【0030】

また、シミュレーション実行者は、シミュレーション内容を検討する。検討結果（どのような計算で時間発展させるかの計算式、シミュレーション期間、ｋ値の基準値、初期一般化単位等）を操作端末１００経由で評価シミュレーション装置１に送信する。操作端末１００は、受け付けたシミュレーション内容を、評価シミュレーション装置１に送信し、評価シミュレーション装置１は受信したシミュレーション内容を、シミュレーション定義装置１０９に送る。シミュレーション定義装置１０９は、受信したシミュレーション内容のうち計算式に関する情報以外をシミュレーション定義マスタ５０に格納して管理する。また、計算式に関する情報は、シミュレーションジャーナル６０に登録する。

【0031】

シミュレーション実行者は、登録されたシミュレーションから実際に実行するシミュレーションを決定する。その動作は、例えば、シミュレーション実行者は、操作端末１００にプルダウンメニューで表示された登録シミュレーション名称と内容から、実行するシミュレーション名称を選択する。操作端末１００は、選択されたシミュレーション名称を評価シミュレーション装置１に送信する。

【0032】

評価シミュレーション装置１は受信したシミュレーション名称をシミュレーション定義装置１０９に送り、シミュレーション定義装置１０９は、実際に実行するシミュレーションの詳細情報（実行シミュレーション詳細情報）をシミュレーションジャーナル６０及びシミュレーション定義マスタ５０から取得する。

【0033】

そして、シミュレーション定義装置１０９は、取得した実行シミュレーション詳細情報をデータセット（時間ｔ＝ｔ＋ｎ）生成装置１０７で、時間発展させたデータセット（時間ｔ＝ｔ＋ｎ）１０８を生成する。そして、生成したデータセット（時間ｔ＝ｔ＋ｎ）１０８を、データセット（時間ｔ＝ｔ＋ｎ）生成装置１０７はｋ−匿名化処理装置１０５を用いて匿名化処理をして、処理結果を表示装置１４で表示する。また、処理結果を判定装置１１４によって妥当性が判定され、その判定結果も表示装置１４で表示する。

【0034】

ここで、「ｔ＝ｔ＋ｎ」という表現は、ある時間「ｔ」から時間発展させて、次のシミュレーション結果を表示させる時間（これを「ｔ＋ｎ」と表現）にした場合の時間、即ち次のシミュレーションの時間である「ｔ＋ｎ」の時間、を表現している。時間ｎの単位は、年、月、日、時、分、秒、期などで、どれを用いてもシミュレーションすることができる。また、整数でなく、０．５年などの小数でもよい。このような単位を選択することで、時間的に詳細なシミュレーションが可能となる。また、長期的なシミュレーションを可能できるので、分析効率を向上できる。

【0035】

＜データ構造と関連性＞図２
図２は、各データの構造と、データ間の関連性を示す対応図である。評価シミュレーション装置１で使用または管理されるデータとして、元データテーブル３０、準識別子管理マスタ（ＪＳＭ：Ｊｕｎ Ｓｈｉｋｉｂｅｔｓｕ Ｍａｓｔｅｒ）テーブル４０、シミュレーション定義マスタ（ＳＤＭ：Ｓｉｍｕｌａｔｉｏｎ Ｄｅｆｉｎｉｔｉｏｎ Ｍａｓｔｅｒ）テーブル５０、シミュレーションジャーナルテーブル（ＳＪＴ：Ｓｉｍｕｌａｔｉｏｎ Ｊｏｕｒｎａｌ Ｔａｂｌｅ）６０がある。

【0036】

元データテーブル３０は、例えば、図に示すように、識別子として、識別子１（名前）、識別子２（会員ＩＤ）を有し、準識別子として、準識別子１（年齢）、準識別子２（住所）、準識別子３（入居年）、準識別子４（保険割引ステージ）を有し、その他情報としてその他１（年収）、その他２（車所有）を有する。評価シミュレーション装置１では、元データテーブル３０のうち、準識別子候補を決める。この例では、「生年（年齢）」、「住所」、「入居年」、「保険割引ステージ」を準識別子として選択している。

【0037】

元データテーブル３０の準識別子で、準識別子管理マスタテーブル４０を構成する。準識別子管理マスタテーブル４０は、ＪＳＭ＿準識別子ＩＤとＪＳＭ＿準識別子を有する。つまり、元データテーブル３０の準識別子と、準識別子管理マスタ（ＪＳＭ）テーブル４０のＪＳＭ＿準識別子とが対応する。

【0038】

シミュレーション定義マスタ（ＳＤＭ）テーブル５０は、ＳＤＭ＿シミュレーションＩＤと、ＳＤＭ＿シミュレーション名を有する。シミュレーションジャーナルテーブル（ＳＪＴ）６０は、ＳＪＴ＿シミュレーションＩＤと、ＳＪＴ＿準識別子ＩＤ、ＳＪＴ＿計算式を有する。シミュレーション定義マスタ（ＳＤＭ）テーブル５０のＳＤＭ＿シミュレーションＩＤと、シミュレーションジャーナルテーブル（ＳＪＴ）６０のＳＪＴ＿シミュレーションＩＤとが対応する。また、準識別子管理マスタテーブル４０のＪＳＭ＿準識別子ＩＤと、シミュレーションジャーナルテーブル（ＳＪＴ）６０のＳＪＴ＿準識別子ＩＤが対応する。これらのデータやテーブルを用いて、評価シミュレーション装置１は、ｋ−匿名化処理におけるｋ値の時間依存評価シミュレーションを実行する。

【0039】

＜データ構造と関連性＞図３
図３は、元データテーブルの構成例を示す図である。元データテーブル３０は、番号（＃）３０１、識別子３０２、準識別子３０３、その他情報３０４を有する。前述のように、識別子３０２には名前、会員番号（会員ＩＤ）の情報を格納する欄を、準識別子３０３には年齢（生年）、住所、入居年数（入居年）、保険割引ステージの情報を格納する欄を、その他情報３０４には年収、車所有の情報を格納する欄を有する。

【0040】

＜準識別子管理マスタテーブル＞図４
図４は、準識別子管理マスタ（ＪＳＭ）テーブルの構成例を示す図である。準識別子管理マスタ（ＪＳＭ）テーブル４０は、ＪＳＭ＿準識別子ＩＤ４０１とＪＳＭ＿準識別子４０２を有する。ＪＳＭ＿準識別子ＩＤ４０１は、ＪＳＭ＿準識別子を一意に識別するためのＩＤである。ＪＳＭ＿準識別子ＩＤ４０１に対応するＪＳＭ＿準識別子４０２に選択された準識別子の候補を格納する。

【0041】

本例では、ＪＳＭ＿準識別子ＩＤ４０１が“１”から“４”に対応するＪＳＭ＿準識別子４０２のエントリに、“年齢（生年）”、“住所”、“入居年数（入居年）”、“保険割引ステージ”という情報を格納している。

【0042】

＜シミュレーション定義マスタ（ＳＤＭ）テーブル＞図５
図５は、シミュレーション定義マスタ（ＳＤＭ）テーブルの構成例を示す図である。シミュレーション定義マスタ（ＳＤＭ）テーブル５０は、シミュレーションを一意に識別するためのＳＤＭ＿ＩＤ５０１と、ＳＤＭ＿シミュレーション名５０２を有する。評価シミュレーション装置１は、シミュレーション実行者からの実行したいシミュレーション情報を受信すると、シミュレーション定義マスタ（ＳＤＭ）テーブル５０に実行したいシミュレーションを登録して、ＩＤを採番する。また、採番されたシミュレーションにおける準識別子の時間発展に関する計算式をシミュレーションジャーナルテーブル（ＳＪＴ）６０に登録する。

【0043】

本例では、ＳＤＭ＿ＩＤ５０１が“１”から“３” に対応するＳＤＭ＿シミュレーション名５０２のエントリに、“年齢だけ時間経過評価”、“年齢と住居年数を時間経過評価”、“保険割引ステージ評価１”の情報を格納している。

【0044】

＜シミュレーションジャーナルテーブル＞図６
図６は、シミュレーションジャーナルテーブル（ＳＪＴ）の構成例示す図である。シミュレーションジャーナルテーブル（ＳＪＴ）６０は、全てのシミュレーションの計算式を管理するテーブルの一例である。シミュレーションジャーナルテーブル（ＳＪＴ）６０は、番号（＃）６０１、シミュレーションを一意に識別するためのＳＪＴ＿シミュレーションＩＤ６０２、準識別子を一意に識別するためのＳＪＴ＿準識別子ＩＤ６０３、ＳＪＴ＿計算式６０４を有する。

【0045】

例えば、ＳＪＴ_シミュレーションＩＤ６０２が“１”のシミュレーションは、図５のシミュレーション定義マスタ５０から「年齢だけ時間経過評価」を実行するシミュレーションである。そのため、年齢（ＳＪＴ_準識別子ＩＤ６０３が“１”）だけが毎年時間発展して「（年齢（ｔ＋ｎ）＝年齢（ｔ）＋ｎ）」という計算式で表現でき、他の準識別子は「固定」としている。

【0046】

また、ＳＪＴ_シミュレーションＩＤが“２”のシミュレーションは、シミュレーション定義マスタ５０から「年齢と住居年数とを時間経過評価」を実行するシミュレーションである。そのため、年齢（ＳＪＴ_準識別子ＩＤ６０３が“１”）と住居年数（ＳＪＴ_準識別子ＩＤ６０３が“２”）が毎年時間発展して「（年齢（ｔ＋ｎ）＝年齢（ｔ）＋ｎ）」、「（住居年数（ｔ＋ｎ）＝住居年数（ｔ）＋ｎ）」という計算式で表現でき、他の準識別子は「固定」としている。

【0047】

更に、ＳＪＴ_シミュレーションＩＤが“３”のシミュレーションは、シミュレーション定義マスタ５０から「保険割引ステージ評価１（年齢と住居年数と保険割引ステージの時間経過評価）」を実行するシミュレーションであるので、年齢（ＳＪＴ_準識別子ＩＤ６０３が“１”）と住居年数（ＳＪＴ_準識別子ＩＤ６０３が“２”）が毎年時間発展して「（年齢（ｔ＋ｎ）＝年齢（ｔ）＋ｎ）」、「住所（ｔ＋ｎ）＝住所（ｔ）＋ｎ」、「（住居年数（ｔ＋ｎ）＝住居年数（ｔ）＋ｎ）」という計算式に加えて、「保険割引ステージ（ｔ＋ｎ）」は、
（１）ブロンズ：（年齢（ｔ＋ｎ）＋入居年数（ｔ＋ｎ））＊０．０１＜０．４の場合
（２）シルバー：（年齢（ｔ＋ｎ）＋入居年数（ｔ＋ｎ））＊０．０１＜０．５の場合
（３）ゴールド：（年齢（ｔ＋ｎ）＋入居年数（ｔ＋ｎ））＊０．０１＜０．６の場合
（４）プラチナ：（年齢（ｔ＋ｎ）＋入居年数（ｔ＋ｎ））＊０．０１≧０．６の場合
（０．６以上で、保険割引ステージがプラチナとなる）
で算出される。つまり、本発明では、準識別子間（年齢と入居年数）の相関の計算を行うことで、別の準識別子に対するシミュレーションを行うことができる。

【0048】

上記の計算式は一例であり、例えば、年代によって車の事故率が変化することに着目して、車両保険（損害保険）の保険料や保険割引率、付帯オプション等を変えられるようにしてもよい。また、年齢や年代によって、年収が変化（増収ないし減収）することに着目し信用情報での与信度を変えられるようにしてもよい。住宅ローンの借り入れ残額等も年齢等と組み合わせて、シミュレーションを、評価シミュレーション装置１で実行してもよい。

【0049】

次に、処理の動作について、シミュレーション管理装置１０を、処理を実行する主体として説明するが、その他の装置、例えば、評価シミュレーション装置１が主体でもかまわない。

【0050】

＜ｋ値の時間依存評価シミュレーションの全体処理＞図７
図７は、ｋ−匿名化処理におけるｋ値の時間依存評価シミュレーションの全体処理を示すフローチャートである。

【0051】

Ｓ７０１で、シミュレーション管理装置１０は、元データ（ｔ＝ｔ）テーブル３０を記憶装置ａ１２からロードする。

【0052】

Ｓ７０２で、シミュレーション管理装置１０は、Ｓ７０１でのk値の基準値を設定する。Ｓ７０３で、シミュレーション管理装置１０は、シミュレーションする期間を設定する。Ｓ７０４で、シミュレーション管理装置１０は、元データ（ｔ＝ｔ）テーブル３０より準識別子を定義する。ｋ−匿名化処理装置１０５が、ロードした元データ（ｔ＝ｔ）テーブル３０を所定のｋ値で匿名化処理を施す。その結果を判定装置１１４で判定し妥当であれば、シミュレーション管理装置１０は、匿名化処理を施したｋ値と、ｋ−匿名化処理結果を採用する。

【0053】

Ｓ７０５で、シミュレーション管理装置１０は、Ｓ７０４で定義した準識別子を準識別子管理マスタ（ＪＳＭ）テーブル４０に登録する。Ｓ７０６で、シミュレーション管理装置１０は、シミュレーション名とシミュレーションの方法を、シミュレーション定義マスタ（ＳＤＭ）テーブル５０と、シミュレーションジャーナルテーブル（ＳＪＴ）６０に登録する。Ｓ７０７で、シミュレーション管理装置１０は、シミュレーションを実行する。

【0054】

以上の処理が、ｋ−匿名化処理におけるｋ値の時間依存評価シミュレーションの全体処理である。次に、詳細な処理内容を図８以降で説明する。

【0055】

＜準識別子の選択・登録処理＞図８
図８は、準識別子の選択・登録処理を示すフローチャートである。本処理は、図７のＳ７０４及びＳ７０５の処理に相当する。

【0056】

Ｓ８０１で、シミュレーション管理装置１０は、元データ（ｔ＝ｔ）テーブル３０から、準識別子を選別する。

【0057】

Ｓ８０２で、シミュレーション管理装置１０は、準識別子管理装置１１２に選別された準識別子のフィールド名を準識別子管理マスタ（ＪＳＭ）テーブル４０に登録する。つまり、準識別子管理装置１１２は、準識別子管理マスタ（ＪＳＭ）テーブル４０のＪＳＭ＿準識別子ＩＤ４０１における最大番号の次の番号を採番し、採番された番号に対応するＪＳＭ＿準識別子４０２に準識別子のフィールド名を格納する。

【0058】

以上の処理で、準識別子の選別と準識別子管理マスタ（ＪＳＭ）テーブル４０への登録が完了する。次に、実行するシミュレーション内容の設定処理について説明する。

【0059】

＜シミュレーション内容の設定処理＞図９
図９は、実行するシミュレーション内容の設定処理を示すフローチャートである。本処理は、図７のＳ７０６の処理に相当する。

【0060】

Ｓ９０１で、シミュレーション管理装置１０は、シミュレーション定義装置１０９へ実行するシミュレーションの名称をシミュレーション定義マスタ（ＳＤＭ）テーブル５０に登録してＳＤＭ＿シミュレーションＩＤを採番するよう指示する。シミュレーション定義装置１０９は、シミュレーション名称をシミュレーション定義マスタ（ＳＤＭ）テーブル５０に登録し、ＳＤＭ＿シミュレーションＩＤを採番する。

【0061】

Ｓ９０２で、シミュレーション管理装置１０は、シミュレーション定義装置１０９に実行するシミュレーションで、各準識別子を時間発展させる計算式をシミュレーションジャーナルテーブル（ＳＪＴ）６０に登録するよう指示する。シミュレーション定義装置１０９は、シミュレーションジャーナルテーブル（ＳＪＴ）６０のＳＪＴ＿シミュレーションＩＤ６０２にシミュレーション定義マスタ（ＳＤＭ）テーブル５０のＳＤＭ＿ＩＤ５０１の情報を、ＳＪＴ＿準識別子６０３に、準識別子管理マスタ（ＪＳＭ）テーブル４０のＪＳＭ＿準識別子ＩＤ４０１の情報を、ＳＪＴ＿計算式６０４に各準識別子を時間発展させる計算式を格納する。

【0062】

Ｓ９０３で、シミュレーション管理装置１０は、シミュレーション定義装置１０９にシミュレーションジャーナルテーブル（ＳＪＴ）６０に、全ての準識別子のシミュレーションＩＤ、準識別子ＩＤ、計算式を登録するよう指示する。指示を受けたシミュレーション定義装置１０９は、Ｓ９０２の処理を全準識別子について実行して、所定の情報をシミュレーションジャーナルテーブル（ＳＪＴ）６０に設定する。

【0063】

以上の処理で、実行するシミュレーションで必要な計算式やシミュレーションＩＤを確定させることができる。次に、実際のシミュレーション実行処理の動作について説明する。

【0064】

＜シミュレーション実行処理＞図１０
図１０は、シミュレーション実行処理を示すフローチャートである。本処理は、図７のＳ７０７の処理に相当する。

【0065】

Ｓ１００１で、シミュレーション管理装置１０は、シミュレーションする準識別子の一般化単位を設定する。ここでは、シミュレーション管理装置１０は、年齢の一般化単位を“３歳”と設定し、住所の一般化単位を“１丁目”と設定する。

【0066】

Ｓ１００２で、シミュレーション管理装置１０は、設定された一般化単位を組み合わせて「セル」を設定する。つまり、図１２に示すようにシミュレーション管理装置１０は、縦軸方向に住所の番地を１番地刻みで、横軸方向に年齢を１歳刻みで配置した矩形領域をまず設定する。そして、１丁目１番地から１丁目１１番地までで、年齢の一般化単位を“３歳”刻みの「セル」（図中の太い黒線で囲われた部分）を１つ以上設定する。図１２では、４つの「セル」を設定している。

【0067】

Ｓ１００３で、シミュレーション管理装置１０は、iにシミュレーション開始年を設定する（ｉ＝シミュレーション開始年）。例えば、シミュレーション管理装置１０は、ｉ＝西暦２０１５年と設定する。

【0068】

Ｓ１００４で、シミュレーション管理装置１０は、シミュレーションジャーナルテーブル（ＳＪＴ）６０を参照して、ｉ年（＝２０１５年）のデータセットを作成する。

【0069】

Ｓ１００５で、シミュレーション管理装置１０は、ｋ−匿名化処理装置１０５にｉ年のデータセットを送信し、ｋ−匿名化処理を実行させる。

【0070】

Ｓ１００６で、シミュレーション管理装置１０は、Ｓ１００５でのｋ−匿名化処理の処理結果が妥当かどうかを判定装置１１４で判定させる。そして、設定されたシミュレーションをする準識別子の一般化単位の組み合わせで表現される各セルでのｋ値を算出する。つまり、シミュレーション管理装置１０は、妥当と判断されたｋ値の候補を決定する。

【0071】

Ｓ１００７で、シミュレーション管理装置１０は、ｋ値を算出した結果、設定された基準値よりも小さなｋ値となるかを判断する。算出したｋ値が設定された基準値より小さい場合（Ｙｅｓ）、シミュレーション管理装置１０は、Ｓ１００８を実行する。例えば、算出したｋ値が“２”で、設定された基準値が“５”であれば、匿名化の基準を満足しない（個人を特定されてしまう）と、シミュレーション管理装置１０は判断する。

【0072】

算出したｋ値が設定された基準値より大きい場合（Ｎｏ）、シミュレーション管理装置１０は、Ｓ１００９を実行する。つまり、算出したｋ値が“７”であれば、設定された基準値が“５”より大きいので、匿名化の基準を満足する（個人を特定される可能性は１／ｋ（＝７）以下である）と、シミュレーション管理装置１０は判断する。

【0073】

Ｓ１００８で、シミュレーション管理装置１０は、ｋ値が設定された基準値よりも小さな値のセルの情報を、表示装置１４の画面に表示してシミュレーション実行者に通知する。また、シミュレーション管理装置１０は、基準値よりも小さな値のセルの情報を操作端末１００に送信し、操作端末１００の表示画面に表示して基準値を満足しないと警告してもよい。

【0074】

Ｓ１００９で、シミュレーション管理装置１０は、ｉ＝ｉ＋１とする。つまり、シミュレーションを実行する年を、シミュレーション開始年に１年加えた年とする。この時、ｉ年は２０１６年となる。Ｓ１０１０で、シミュレーション管理装置１０は、ｉの値（年）がシミュレーション終了年以上であるかを判断する。ｉの値（年）がシミュレーション終了年以上であれば、シミュレーション管理装置１０は、シミュレーションを終了する。ｉの値（年）がシミュレーション終了年未満であれば、シミュレーション管理装置１０は、再びＳ１００４以降の処理を実行する。

【0075】

以上のシミュレーションにより、将来に設定されたｋ値が基準値を満足するか否かを判断できるので、匿名化を担保することができる。

【0076】

＜ｎ年後のデータセットの生成処理＞図１１
図１１は、ｎ年後のデータセットの生成処理を示すフローチャートである。本処理は、図１０のＳ１００４でｉ＝ｉ＋ｎとして算出する処理である。

【0077】

Ｓ１１０１で、シミュレーション管理装置１０は、シミュレーション定義マスタ（ＳＤＭ）テーブル５０から、シミュレーションするシミュレーションＩＤ（ＳＤＭ＿ＩＤ５０１の情報）を選択する。

【0078】

Ｓ１１０２で、シミュレーション管理装置１０は、シミュレーションジャーナルテーブル（ＪＳＴ）６０から、Ｓ１１０１で選択したシミュレーションＩＤ（ＳＤＭ＿ＩＤ５０１の情報）における全てのＳＪＴ＿準識別子ＩＤ６０３と計算式を取得する。例えば、シミュレーション管理装置１０は、ＳＤＭ＿ＩＤ５０１が“２”の「年齢と住居年数を時間経過評価」を選択すると、対応するＳＪＴ＿シミュレーションＩＤが同じ“２”である項目（番号（＃）６０１が“５”から“８”）のＳＪＴ＿準識別子ＩＤ６０３と、ＳＪＴ＿計算式６０４とを取得する。

【0079】

Ｓ１１０３で、シミュレーション管理装置１０は、データセット（時間ｔ＝ｔ＋ｎ）生成装置１０７にデータセット（時間ｔ＝ｔ＋ｎ）の生成を指示する。データセット（時間ｔ＝ｔ＋ｎ）生成装置１０７は、取得した計算式を用いて各準識別子の時間ｔ＝ｔ＋ｎにおける値を計算して、時間ｔ＝ｔ＋ｎにおけるデータセット（時間ｔ＝ｔ＋ｎ）を生成する。そして、データセット（時間ｔ＝ｔ＋ｎ）生成装置１０７は、生成したデータセット（時間ｔ＝ｔ＋ｎ）を記憶装置ｂ１６にデータセット（時間ｔ＝ｔ＋ｎ）１０８として格納する。そして、シミュレーション管理装置１０は、ｎ年後のデータセットの生成処理を終了する。

【0080】

本ｎ年後のデータセットの生成処理により、元データを変更することなく現存させることができ、更にｎ年後のデータセット（時間ｔ＝ｔ＋ｎ）を生成でき、また生成したデータセット（時間ｔ＝ｔ＋ｎ）を保存することができる。なお、ｎの値は、本例のシミュレーションのように１年単位でもよいし、前述のように０．５年という小数を用いることができる。更に、将来ではなく、過去に向かってシミュレーションを行うことも本実施例では可能であるので、マイナス値（−１年、−０．５年）も用いることができる。

【0081】

＜シミュレーション実行結果１＞図１２
図１２は、一般化単位を３歳とし年齢を変化させた場合のシミュレーション実行結果を示す図である。図１２に、「年齢だけ時間経過評価」するシミュレーションの結果の例を示す。ここでは、「ｋ値が５人以上であること」を基準値として設定した。また、図１２では、一般化単位を「０歳から開始し３歳単位」としている。シミュレーション開始年を２０１５年として１年毎の時間経過評価シミュレーションを実行する。

【0082】

まず、２０１５年（●：黒塗り丸印が、２０１５年時点で所定の住所に居住している所定の年齢である人を表す）は、全てのセルで基準値「ｋ値が５人以上であること」を満たしている。例えば、住所が１丁目の１番地から１１番地に居住している３１歳から３３歳の人のｋ値は“８”である。同じく、３４歳から３６歳の人のｋ値は“７”、３７歳から３９歳の人のｋ値は“１３”、４０歳から４２歳の人のｋ値は“９”である。そのため、２０１５年時点では、所が１丁目の１番地から１１番地に居住している３歳単位の年代に分けた各セル（黒い太線で囲われた部分）は、基準値「ｋ値が５人以上であること」を満足していることが分かる。

【0083】

一方、２０１５年から１年経過した２０１６年（◎：二重丸が、２０１６年時点で所定の住所に居住している所定の年齢である人を表す）は、全てのセルで基準値「ｋ値が５人以上であること」を満たしていない。３１歳から３３歳の人のｋ値は“６”で、３７歳から３９歳の人のｋ値は“１３”で基準値「ｋ値が５人以上であること」を満足している。しかし、３４歳から３６歳の人のｋ値は“４”、４０歳から４２歳の人のｋ値も“４”であるので、基準値「ｋ値が５人以上であること」を満足していない。

【0084】

そのため、ｋ−匿名化処理装置１０５の匿名化処理結果を、判定装置１１４が判定した結果はｋ値が不全（健全ではない）となる。そこで、判定装置１１４は表示装置１４の画面ないし操作端末１００の画面にアラートとして通知する。そして、そのシミュレーション結果を基に一般化単位を見直す。その結果を、図１３に示す。

【0085】

＜シミュレーション実行結果２＞図１３
図１３は、一般化単位を５歳とし年齢を変化させた場合のシミュレーション実行結果を示す図である。図１３で示すように、一般化単位を「０歳から開始し５歳単位」にすることで、全てのセル（黒い太線で囲われた部分）で、２０１５年（●：黒塗り丸印）も２０１６年（◎：二重丸）も基準値「ｋ値が５人以上であること」をクリアできることが分かる。

【0086】

つまり、２０１５年の３０歳から３４歳の人のｋ値は“１０”、３５歳から３９歳の人のｋ値は“１８”、４０歳から４４歳の人のｋ値は“９”であり、基準値「ｋ値が５人以上であること」を満足している。同じく、２０１６年の３０歳から３４歳の人のｋ値は“１２”、３５歳から３９歳の人のｋ値は“１５”、４０歳から４４歳の人のｋ値は“１２”であり、基準値「ｋ値が５人以上であること」を満足している。

【0087】

一般化単位の変更は、開始年齢を図３に示す元データテーブル３０の準識別子３０３の年齢が最小となる会員のデータとし、セルの分割年数を１年から１０年くらいまで変化させて、それぞれのセルの分割年数で時間経過シミュレーションを繰り返し、基準値を満足するかを判断し、満足した複数の分割年数の中から適当な年数を選択することもできる。また、算出したｋ値も含めシミュレーション結果をシミュレーション管理装置１０の記憶装置ｂ１６に格納しておくことで、ｋ値を変えた場合（例えば、ｋ値＝５からｋ値＝７）でも、ｋ値の健全性を判断できる。

【0088】

このように、時間経過シミュレーションを行うことで、設定したｋ値の健全性（将来でも匿名化を維持できるか否かの尺度）を判定できるので、安定した情報保護システムを提供できる。

【0089】

＜シミュレーション実行結果３＞図１４、図１５
図１４は、年齢及び住居年数を変化させ一般化単位をそれぞれ５歳とした場合のシミュレーション実行前の状態を示す図である（２０１５年時点）。図１５は、年齢及び住居年数を変化させ一般化単位をそれぞれ５歳とした場合のシミュレーション実行後の状態を示す図である（２０１６年予測）。

【0090】

２０１５年の結果（図１４）では、全てのセル（黒い太線で囲われた部分）で基準値「ｋ値が５人以上であること」をクリアしている。一方、２０１６年（図１５）では、住居年数が５年から９年で年齢が３５歳から３９歳のセルと、住居年数が１０年から１４年で年齢が４０歳から４４歳のセル（二重線で囲った部分）は、ｋ値が“４”と“３”である。そのため、基準値「ｋ値が５人以上であること」をクリアしていないと判断できる。

【0091】

この場合、準識別子である「年齢」、「住居年数」、「住所」のいずれかの一般化単位を予め大きくして、かつ将来を見越して倍数として利用可能な単位を設定するなど、検討の余地が広がり、データの可用性の向上と情報損失を抑える、という効果を得ることができる。

【0092】

以上説明したように、本発明の情報保護システムでは、時間発展する準識別子の計算式で将来のｋ値を算出する手段と、算出されたｋ値と予め設定された基準値とを比較する手段と、比較した結果を表示する手段とを備え、時間発展シミュレーションの実行を可能とする。そのため、準識別子を有する個人情報のデータセットのｋ−匿名化処理で、時間発展でも準識別子の適切な一般化単位を設定できる。また、匿名化されたデータセットの分析を継続させることができる。

【0093】

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。また、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。

【0094】

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（ＳｏｌＩＤ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置いてもよい。また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

【符号の説明】

【0095】

１：ｋ値の時間依存評価シミュレーション装置
１０：シミュレーション管理装置
１１：ＣＰＵａ
１２：記憶装置ａ
１３：通信装置
１４：表示装置
１５：ＣＰＵｂ
１６：記憶装置ｂ
３０：元データ（ｔ＝ｔ）テーブル
４０：準識別子管理マスタ（ＪＳＭ）テーブル
５０：シミュレーション定義マスタ（ＳＤＭ）テーブル
６０：シミュレーションジャーナルテーブル（ＳＪＴ）
１００：操作者端末
１０１：ネットワーク
１０５：ｋ−匿名化処理装置
１０７：データセット（時間ｔ＝ｔ＋ｎ）生成装置
１０８：データセット（時間ｔ＝ｔ＋ｎ）
１０９：シミュレーション定義装置
１１２：準識別子管理装置
１１４：判定装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】