特許 6334915 匿名化システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6334915

(24)【登録日】2018年5月11日

(45)【発行日】2018年5月30日

(54)【発明の名称】匿名化システム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20180521BHJP

【ＦＩ】

   G06F21/62 354

【請求項の数】9

【全頁数】40

(21)【出願番号】特願2013-270368(P2013-270368)

(22)【出願日】2013年12月26日

(65)【公開番号】特開2015-125646(P2015-125646A)

(43)【公開日】2015年7月6日

【審査請求日】2016年11月29日

(73)【特許権者】

【識別番号】591117192

【氏名又は名称】富士通クラウドテクノロジーズ株式会社

(74)【代理人】

【識別番号】100113608

【弁理士】

【氏名又は名称】平川 明

(74)【代理人】

【識別番号】100105407

【弁理士】

【氏名又は名称】高田 大輔

(72)【発明者】

【氏名】小栗 秀暢

【審査官】 岸野 徹

(56)【参考文献】

【文献】 国際公開第２０１１／１４５４０１（ＷＯ，Ａ１）

【文献】 特開２０１３−２００６５９（ＪＰ，Ａ）

【文献】 米国特許出願公開第２０１１／０２８９５９０（ＵＳ，Ａ１）

【文献】 特開２００９−２７１５７３（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００６／０１２３４６１（ＵＳ，Ａ１）

【文献】 小栗 秀暢 ほか，データの安全性と事業性の評価を行うプラットフォームの提案，電子情報通信学会技術研究報告，日本，一般社団法人電子情報通信学会，２０１２年１１月１５日，Ｖｏｌ．１１２ Ｎｏ．３１３，ｐ．１７−２０

【文献】 佐藤 嘉則、外１名，識別リスクを保証する個人情報匿名化システムの検討，マルチメディア，分散，協調とモバイル（ＤＩＣＯＭＯ２００７）シンポジウム論文集 情報処理学会シンポジ，日本，社団法人情報処理学会，２００９年 ４月 ７日，第２００７巻，第１号，ｐ．１１８２−１１８９

【文献】 浜本 一知 Kazutomo HAMAMOTO，ユーザ背景情報及びコミュニティ状況を考慮した匿名度制御によるプライバシ保護エージェントの提案 A Proposal for Privacy Preserving Agent by Anonymization Based on User Background Information and Community Status，電子情報通信学会論文誌 （Ｊ９４−Ｄ） 第１１号 THE IEICE TRANSACTIONS ON INFORMATION AND SYSTEMS (JAPANESE EDITION)，日本，社団法人電子情報通信学会 THE INSTITUTE OF ELECTRONICS,INFORMATION AND COMMUNICATION ENGINEERS，２０１１年１１月 １日，第J94-D巻，pp.1812-1824

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

匿名情報を取得する匿名情報取得部と、
前記匿名情報が複数のレコードを有し、各レコードが複数の項目を有し、前記各レコードが有する前記項目の値である語の組み合わせのうち、同じ組み合わせ毎の数を出現数として求める出現数取得部と、
前記出現数に基づいて当該匿名情報のアクセス権限を決定する権限決定部と、
を備える権限設定装置。

【請求項2】

前記出現数のうち最少の出現数を最少出現数とし、前記権限決定部が、前記最少出現数に基づいて当該匿名情報のアクセス権限を決定する請求項１に記載の権限設定装置。

【請求項3】

前記出現数のうち最少の出現数を最少出現数とし、前記レコードの全数に対する前記最少出現数の割合を最少出現率とし、前記権限決定部が、前記最少出現率に基づいて当該匿名情報のアクセス権限を決定する請求項１に記載の権限設定装置。

【請求項4】

前記匿名情報の最少出現率と前記アクセス権限とを対応付けて記憶した権限記憶部を参照して、前記権限決定部が前記出現数に基づく前記アクセス権限を決定する請求項３に記載の権限設定装置。

【請求項5】

前記権限決定部が、前記匿名情報の最少出現率に応じて前記アクセス権限のランクを決定する請求項３又は４に記載の権限設定装置。

【請求項6】

匿名化の対象データを取得するデータ取得部と、
前記対象データを構成する複数の項目の値である語の少なくとも一つを抽象化して抽象化候補データとする抽象化部と、
前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
前記検定の条件を満たした前記抽象化候補データを匿名情報として選択する選択部と、
前記匿名情報が複数のレコードを有し、各レコードが複数の項目を有し、前記各レコードが有する前記項目の値である語の組み合わせのうち、同じ組み合わせ毎の数を出現数として求める出現数取得部と、
前記出現数に基づいて当該匿名情報のアクセス権限を決定する権限決定部と、
を備える匿名化装置。

【請求項7】

匿名化の対象データを取得するデータ取得部と、
前記対象データを構成する複数の項目の値である語の少なくとも一つを抽象化して抽象化候補データとする抽象化部と、
前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
前記検定の条件を満たした前記抽象化候補データを匿名情報として選択する選択部と、
前記匿名情報が複数のレコードを有し、各レコードが複数の項目を有し、前記各レコードが有する前記項目の値である語の組み合わせのうち、同じ組み合わせ毎の数を出現数として求める出現数取得部と、
前記出現数に基づいて当該匿名情報のアクセス権限を決定する権限決定部と、
ユーザの端末から前記匿名情報へのアクセス要求を受けた場合に、当該ユーザのアクセス権限と当該匿名情報のアクセス権限とを比較し、当該匿名情報のアクセス権限が当該ユーザのアクセス権限の範囲内であれば、当該匿名情報へのアクセスを許可するアクセス制御部と、
を備える匿名化システム。

【請求項8】

匿名情報を取得するステップと、
前記匿名情報が複数のレコードを有し、各レコードが複数の項目を有し、前記各レコードが有する前記項目の値である語の組み合わせのうち、同じ組み合わせ毎の数を出現数として求めるステップと、
前記出現数に基づいて当該匿名情報のアクセス権限を決定するステップと、をコンピュータが実行する権限設定方法。

【請求項9】

匿名情報を取得するステップと、
前記匿名情報が複数のレコードを有し、各レコードが複数の項目を有し、前記各レコードが有する前記項目の値である語の組み合わせのうち、同じ組み合わせ毎の数を出現数として求めるステップと、
前記出現数に基づいて当該匿名情報のアクセス権限を決定するステップと、をコンピュータに実行させるための権限設定プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、個人情報を匿名化又は多様化して利用する技術に関する。

【背景技術】

【0002】

情報処理技術の発展に伴い、日常の多くの場面で情報が収集され、この収集された情報を用いた処理が行われている。例えば、消費者が店舗の会員となって商品を購入する場合、会員登録時に消費者の氏名、年齢、性別、住所、メールアドレス等を登録することが多い。そして、消費者が商品を購入すると、店舗側のシステムが、この消費者と購入した商品の情報を対応付けて記録する。このように購入した商品の情報を蓄積して分析すると、当該消費者の嗜好が推定でき、この消費者が好む新商品が発売されたような場合にダイレクトメールを発送するといったサービスを行うことができる。更に、多くの消費者の情報について分析することで、２０代女性の好む商品や関東エリアで好まれる商品といった情報を導くことができ、マーケティング等に利用される。

【0003】

これらの情報は、当該店舗だけでなく、商品を製造するメーカや、他の企業にとっても利用価値が高く、例えば広告やクーポン等のレコメンドに用いたいという要求があった。

【0004】

しかし、店舗が有する消費者の個人情報を各消費者の許諾を得ずに、他者へ提供することはできない。このため、上記消費者に関する情報を他者へ提供する場合には、個人を特定できないように、匿名化する必要がある。

【0005】

従来の匿名化方法には、氏名や電話番号のように個人を直接特定する情報を削除することで匿名化を行うものがあるが、これだけでは不十分な場合がある。例えば、年齢が記載されている会員リストに２５歳の人が一人だけであると、２５歳の知人がその会員であることを知った時点で、その人を特定できることになる。即ち、２５歳の会員という属性を持つ人が一人だけであると、他の情報と照らし合わせることで、間接的に個人を特定できる可能性が高い。

【0006】

そこで、会員リストの年齢の記載を１０歳区切りに抽象化し、２０代が３人のように同じ属性を持つ人が複数人となるようにすれば、３人のうちの誰であるかを特定できなくなる。このように、個人情報を他の事業者へ提供する場合は、直接的に個人を特定できないことは勿論、間接的にも個人を特定できないよう充分な匿名化を行うことが望まれている。

【0007】

また、匿名情報の重要度等に応じて、匿名情報にアクセス出来る権限のランクを設定し、このランク以上の権限を有する人には、匿名情報へのアクセスを許可し、このランク以上の権限がない人には匿名情報へのアクセスを許可しないようにアクセス管理を行うことがある。

【先行技術文献】

【特許文献】

【0008】

【特許文献1】特開２００３−１９６３９１号公報

【特許文献2】特開２００３−２３３５５１号公報

【特許文献3】特開２００５−１００４０８号公報

【特許文献4】特開２００４−０８６３８３号公報

【特許文献5】特開２００５−３４６２４８号公報

【発明の概要】

【発明が解決しようとする課題】

【0009】

充分な匿名化を行うために各項目の値を抽象化し過ぎると、例え匿名性を満たしても利用価値の無いデータとなってしまうことがある。例えば、ファッションの傾向を知るためにデータを利用する場合、年齢の項目は重要であり、匿名化のために年齢の項目を抽象化し過ぎると、ファッションに関するマーケティングデータとしての利用価値は無くなってしまう。また、匿名性を満たすため、単に同じ属性を持つ人が複数人となるように年齢の項目を区切って抽象化した結果、例えば１７歳以上２２歳未満のような区切りでグループが作成されると、同一グループに成年と未成年が混在したり、高校生と社会人が混在したりすることになり、嗜好や生活スタイルが大きく異なる人の情報が混在してしまい統計情報やマーケティング情報としての利用価値が無くなってしまう。

【0010】

そこで本出願人は、複数の抽象化候補を作成し、各抽象化候補の価値を求めて、価値の高い抽象化候補を匿名情報として選択することで、自動的に利用価値の高い匿名情報が得られるようにした匿名化システムを提案している。

【0011】

一方、アクセス管理を行うためには、管理者が、利用者のアクセス権限のランクについて、各利用者の所属や立場、契約等に応じて、予め決定していた。また、匿名情報のアクセス権限のランクについても管理者が、当該匿名情報のジャンルや、重要度、抽象化の程度等に応じて決定していた。

【0012】

このようにアクセス権の設定は、人手を要する負荷の高い処理である。従って上述のように自動的に利用価値の高い匿名情報が得られるようにした匿名化システムにおいて、複数の匿名情報が自動的に得られたとしても、各匿名情報に手動でアクセス権限のレベルを決定していたのでは、円滑に匿名情報を提供することができない。

【0013】

特に、様々な利用者にとって利用価値の高い匿名情報を提供できるように、抽象化の程度や抽象化する項目を変えて非常に多くの匿名情報を生成する場合、各々の匿名情報についてアクセル権限のレベルを手動で設定するのは現実的でないため、このように様々な利用者のニーズに特化した多種の匿名情報をアクセス管理することが出来なかった。

【0014】

そこで本発明は、匿名情報を構成する語の出現数に基づいてアクセス権限を求め、アクセス権限を自動で設定して適切にアクセス管理を行う技術を提供する。

【課題を解決するための手段】

【0015】

上記課題を解決するため、本発明の権限設定装置は、
匿名情報を取得する匿名情報取得部と、
前記匿名情報を構成する語の出現数を求める出現数取得部と、
前記匿名情報の出現数に基づいて当該匿名情報のアクセス権限を決定する権限決定部と、を備える。

【0016】

前記権限設定装置は、前記匿名情報を構成する語の出現数のうち最少の出現数を最少出現数とし、前記匿名情報を構成する語の全数に対する前記最少出現数の割合を最少出現率とし、前記権限決定部が、前記最少出現率に基づいて当該匿名情報のアクセス権限を決定しても良い。

【0017】

前記権限設定装置は、前記匿名情報の最少出現率と前記アクセス権限とを対応付けて記憶した権限記憶部を参照して、前記権限決定部が前記匿名情報の出現数に基づく前記アクセス権限を決定しても良い。

【0018】

前記権限設定装置は、前記権限決定部が、前記匿名情報の最少出現率に応じて前記アクセス権限のランクを決定しても良い。

【0019】

また、上記課題を解決するため、本発明の匿名化装置は、
匿名化の対象データを取得するデータ取得部と、
前記対象データを構成する複数の語の少なくとも一つを抽象化して抽象化候補データとする抽象化部と、
前記抽化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
前記検定の条件を満たした前記抽象化候補データを匿名情報として選択する選択部と、
前記匿名情報を構成する語の出現数を求める出現数取得部と、
前記匿名情報の出現数に基づいて当該匿名情報のアクセス権限を決定する権限決定部と、を備える。

【0020】

前記匿名化装置は、前記匿名情報を構成する語の出現数のうち最少の出現数を最少出現数とし、前記匿名情報を構成する語の全数に対する前記最少出現数の割合を最少出現率とし、前記権限決定部が、前記最少出現率に基づいて当該匿名情報のアクセス権限を決定しても良い。

【0021】

前記匿名化装置は、前記匿名情報の最少出現率と前記アクセス権限とを対応付けて記憶した権限記憶部を参照して、前記権限決定部が前記匿名情報の出現数に基づく前記アクセス権限を決定しても良い。

【0022】

前記匿名化装置は、前記権限決定部が、前記匿名情報の最少出現率に応じて前記アクセス権限のランクを決定しても良い。

【0023】

また、上記課題を解決するため、本発明の匿名化システムは、
匿名化の対象データを取得するデータ取得部と、
前記対象データを構成する複数の語の少なくとも一つを抽象化して抽象化候補データとする抽象化部と、
前記抽化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する検定部と、
前記検定の条件を満たした前記抽象化候補データを匿名情報として選択する選択部と、
前記匿名情報を構成する語の出現数を求める出現数取得部と、
前記匿名情報の出現数に基づいて当該匿名情報のアクセス権限を決定する権限決定部と、
ユーザの端末から前記匿名情報へのアクセス要求を受けた場合に、当該ユーザのアクセス権限と当該匿名情報のアクセス権限とを比較し、当該ユーザのアクセス権限が当該匿名情報のアクセスに必要なアクセス権限とを比較し、レベルと対応する匿名レベルの匿名情報へのアクセスを許可するアクセス制御部と、
を備える。

【0024】

前記匿名化システムは、前記匿名情報を構成する語の出現数のうち最少の出現数を最少出現数とし、前記匿名情報を構成する語の全数に対する前記最少出現数の割合を最少出現率とし、前記権限決定部が、前記最少出現率に基づいて当該匿名情報のアクセス権限を決定しても良い。

【0025】

前記匿名化システムは、前記匿名情報の最少出現率と前記アクセス権限とを対応付けて記憶した権限記憶部を参照して、前記権限決定部が前記匿名情報の出現数に基づく前記アクセス権限を決定しても良い。

【0026】

前記匿名化システムは、前記権限決定部が、前記匿名情報の最少出現率に応じて前記アクセス権限のランクを決定しても良い。

【0027】

また、上記課題を解決するため、本発明の権限設定方法は、
匿名情報を取得するステップと、
前記匿名情報を構成する語の出現数を求めるステップと、
前記匿名情報の出現数に基づいて当該匿名情報のアクセス権限を決定するステップと、をコンピュータが実行する。

【0028】

前記権限設定方法において、前記コンピュータは、前記匿名情報を構成する語の出現数のうち最少の出現数を最少出現数とし、前記匿名情報を構成する語の全数に対する前記最少出現数の割合を最少出現率とし、前記最少出現率に基づいて当該匿名情報のアクセス権限を決定しても良い。

【0029】

前記権限設定方法において、前記コンピュータは、前記匿名情報の最少出現率と前記アクセス権限とを対応付けて記憶した権限記憶部を参照して、前記匿名情報の出現数に基づく前記アクセス権限を決定しても良い。

【0030】

前記権限設定方法において、前記コンピュータは、前記匿名情報の最少出現率に応じて前記アクセス権限のランクを決定しても良い。

【0031】

また、本発明は、上記権限設定方法をコンピュータに実行させるための権限設定プログラムであっても良い。更に、前記権限設定プログラムは、コンピュータが読み取り可能な記憶媒体に記録されていても良い。

【0032】

ここで、コンピュータが読み取り可能な記憶媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータから読み取ることができる記憶媒体をいう。このような記憶媒体の内コンピュータから取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、CD-ROM、CD-R/W、DVD、DAT、８mmテープ、メモリカード等がある。また、コンピュータに固定された記憶媒体としてハードディスクやＲＯＭ（リードオンリーメモリ）等がある。

【発明の効果】

【0033】

本発明は、匿名情報を構成する語の出現数に基づいてアクセス権限を求め、アクセス権限を自動で設定して適切にアクセス管理を行う技術を提供できる。

【図面の簡単な説明】

【0034】

【図1】図１は、匿名化の説明図である。

【図2】図２は、多様化の説明図である。

【図3】図３は、匿名化システムの機能ブロック図である。

【図4】図４は、個人情報ＤＢの一例を示す図である。

【図5】図５は、匿名情報ＤＢに記憶される匿名情報の一例を示す図である。

【図6】図６は、匿名情報へのアクセスを管理するための情報の一例を示す図である。

【図7】図７は匿名化装置のハードウェア構成を示す図である。

【図8】図８は管理サーバのハードウェア構成を示す図である。

【図9】図９は、ユーザ管理ＤＢが記憶するユーザ管理情報の一例を示す図である。

【図10】図１０は、匿名化装置がプログラムに従って実行する匿名化方法の概略を示した説明図である。

【図11】図１１は、匿名化の処理を示す図である。

【図12】図１２は匿名化に用いる辞書の説明図である。

【図13】図１３は匿名化に用いる辞書の説明図である。

【図14】図１４は匿名化に用いる辞書の説明図である。

【図15】図１５は、抽象化候補データの説明図である。

【図16】図１６は、対象データにおける年齢の項目の一部の例を示す図である。

【図17】図１７は、年齢について取得する価値データの一例を示す図である。

【図18】図１８は、年齢の項目の価値を示す図である。

【図19】図１９は、年齢の項目の価値を示す図である。

【図20】図２０は、抽象化候補データにおける年齢の項目の一部の例を示す図である。

【図21】図２１は、年代について取得する各ワードの価値データの一例を示す図である。

【図22】図２２は、年代の項目の価値を示す図である。

【図23】図２３は、年齢の項目の価値を示す図である。

【図24】図２４は、匿名化装置が匿名情報の公開条件を確認する処理を示す図である。

【図25A】図２５Ａは、権限設定ＤＢの一例を示す図である。

【図25B】図２５Ｂは、権限設定ＤＢの一例を示す図である。

【図26】図２６は、公開条件ＤＢの一例を示す図である。

【図27】図２７は、アクセス権限を設定する処理の具体例を示す図である。

【図28】図２８は、管理サーバによるアクセス管理方法の説明図である。

【図29】図２９は、匿名化システムの機能ブロック図である。

【図30】図３０は、辞書ＤＢの例を示す図である。

【図31】図３１は、優先度ＤＢの例を示す図である。

【図32】図３２は、共通ＤＢの例を示す図である。

【図33】図３３は、個人情報ＤＢの例を示す図である。

【図34】図３４は、匿名情報ＤＢに記憶される匿名情報の一例を示す図である。

【図35】図３５は、匿名情報へのアクセスを管理するための情報の一例を示す図である。

【図36】図３６は、管理サーバ２０のハードウェア構成を示す図である。

【図37】図３７は、匿名化装置１０のハードウェア構成を示す図である。

【図38】図３８は、管理サーバ２０が統合匿名化辞書を作成する処理の説明図である。

【図39】図３９は、匿名化辞書を統合する処理の説明図である。

【図40】図４０は、図１１の処理によって作成される各次元の説明図である。

【図41】図４１は、複数の次元の説明図である。

【図42】図４２は、図１３に示した次元に含まれる各ワードに重み付けをした例を示す図である。

【図43】図４３は、各ワードの重みを集計して各次元の優先度を求める処理の説明図である。

【図44】図４４は、Ａ社における匿名化の例を示す図である。

【図45】図４５は、Ｂ社における匿名化の例を示す図である。

【発明を実施するための形態】

【0035】

以下、図面を参照して本発明を実施するための形態について説明する。以下の実施の形態の構成は例示であり、本発明は実施の形態の構成に限定されない。

【0036】

〈実施形態１〉
§１．匿名化
図１はk−匿名化の説明図であり、図１（Ａ）は、姓、年齢、性別の項目を含む会員情
報から姓の項目を削除した例を示す。

【0037】

図１（Ａ）に示すように年齢が記載されている会員情報に１６歳の女性が一人だけであると、１６歳の女性が、この会員であることが分かった時点で、その人を特定できる。即ち、１６歳・女性という属性を持つ人が一人だけであると、他の情報と照らし合わせることで、個人を特定できる可能性がある。

【0038】

図１（Ｂ）では、会員リストの年齢の記載を抽象化し、０代（１０歳未満）、１０代、２０代のように年代別とした。しかし、この場合でも１０代女性は一人だけであり、図１（Ａ）と同様に個人が特定できてしまい匿名化としては不十分である。

【0039】

そこで、図１（Ｃ）では、更に抽象化し、１０代以下（１９歳以下）と２０代のように年代の区切りを変更した。図１（Ｃ）の場合、１０代以下の女性が２人であり、［１０代以下］及び［女性］という属性が単一では無くなる。このため前述のように１６歳の女性が、この会員であることが分かったとしても、どちらが当該１６歳女性のデータであるかは特定できない。このように同じ属性を持つ人がｋ人（本例では２人）以上いる状態を、「k-匿名性」を満たすと称し、そのようにデータを加工することを「k-匿名化」と称する。

【0040】

図２は、ｌ−多様化の説明図であり、ユーザ毎の利用駅のデータを抽象化し、ユーザ毎の利用駅が属する区のデータとした例を示す。

【0041】

抽象化前のデータでは、駅が特定されているために、住居が新宿駅付近で勤務地が東京駅付近といったデータと照らし合わせることでユーザを特定できる可能性がある。このため利用駅を抽象化して、利用駅が属する区とすることで、新宿区内の駅と千代田区内の駅を利用するユーザが複数となり、利用者が特定されなくなる。このように「新宿区内の駅と千代田区内の駅を利用する」のように属性値がｌ種類の可能性を持つ状態を、「ｌ-多
様性」を満たすと称し、そのようにデータを加工することを「ｌ-多様化」と称する。

【0042】

本実施形態１の匿名化システム１００は、この「k-匿名性」や「ｌ-多様性」を満たす
ように対象データを抽象化する、即ちデータの項目の値の組み合わせが、対象データの一個人に限定されないように抽象化することにより匿名化を行う。

【0043】

§２．システム構成
図３は、匿名化システムの機能ブロック図である。本実施形態１の匿名化システム１００は、個人情報の匿名化を行う匿名化装置１０や、匿名化装置１０で匿名化された匿名情報を記憶する匿名情報ＤＢ１４５、ユーザ端末３０からのアクセス要求を受信し、各ユーザのアクセス権限に応じて匿名情報を提供する管理サーバ２０を有する。

【0044】

図３に示すように匿名化装置１０は、データ取得部１０１や、抽象化部１０２、検定部１０３、選択部１０４、価値判定部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、出現数取得部１１１、権限決定部１１２、個人情報データベース（ＤＢ）１３１、公開条件ＤＢ１３２、検索情報蓄積ＤＢ１３３、一時処理ＤＢ１３４、権限設定ＤＢ（権限記憶部）１３５を備えている。

【0045】

データ取得部１０１は、個人と対応付けられた複数の項目を含むデータ、即ち個人情報を匿名化の対象データとして取得する。例えば、データ取得部１０１は、ネットワークを介して他のコンピュータからデータを受信する、又はネットワークを介してデータベースから対象データを読み出す。また、データ取得部１０１は、イベント会場の来場者が記載
したアンケートや来場者から聞き取った個人情報をキーボード等から入力して個人情報ＤＢ１３１に記憶しておき、この個人情報を個人情報ＤＢ１３１からデータ取得部１０１が対象データとして読み出す。また、来場者の名刺やアンケートに記載された事項を読み取り、ＯＣＲ（Optical Character Recognition）により電子データとしても良いし、来場
者のＲＦ−ＩＤタグやＩＣチップ等から当該来場者の情報を取得しても良い。なお、データ取得部１０１は、匿名化の対象データだけでなく、事業者側で匿名化した匿名情報を取得しても良い。即ち、データ取得部１０１は、匿名情報取得部として機能しても良い。

【0046】

抽象化部１０２は、前記次元からなる統合匿名化辞書を参照し、前記対象データ中の項目の値である語を前記優先度に基づいて抽象化した語に替えて匿名化候補データを生成する。

【0047】

検定部１０３は、前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する。例えば、検定部１０３は、抽象化候補データの項目の値の組み合わせが、ｋ−匿名性を満たすこと、或いはｌ−多様性を満たすことを条件として検定する。

【0048】

選択部１０４は、検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択する。例えば、選択部１０４は、ｋ−匿名性やｌ−多様性を満たした抽象化候補データを価値が高い順に所定数選択する。また、選択部１０４は、ｋ−匿名性やｌ−多様性を満たした抽象化候補データのうち、最も価値が高い抽象化候補データを選択しても良い。

【0049】

価値判定部１０６は、抽象化候補データに含まれるワードの価値に基づいて当該抽象化候補データの価値を求める。

【0050】

価値データ取得部１０７は、抽象化候補データに含まれるワードの価値データを検索情報蓄積ＤＢから取得（受信）する。また、価値データ取得部１０７は、検索情報蓄積ＤＢに前記ワードの価値データが登録されていない場合に、他の装置にリクエストし、取得した価値データを検索情報蓄積ＤＢに登録する機能（データリクエスト）や、定期的に他の装置を巡回して最新の価値データを取得し、検索情報蓄積ＤＢに登録されている価値データを更新する機能（データクローラ）を有する。本実施形態では、この価値データとして検索エンジン９０から各ワードの統計情報を受信する。ここで、各ワードの統計情報は、例えばＳＥＭの広告単価（クリック単価）や、クリック率、平均掲載順位、１日の表示回数、１日のクリック数等である。なお、価値の取得先は、検索エンジンに限らず、ウェブページやＳＮＳ等であっても良い。この場合、例えばウェブページやＳＮＳにおける各ワードの使用頻度を価値としても良い。

【0051】

ワードカテゴリ分析部１０８は、ウェブサイト等のデータを分析して、新規のワードや、当該ワードを抽象化したワード（カテゴリ）を求め、検索情報蓄積ＤＢに登録する。

【0052】

価値計算部１０９は、価値データ取得部１０７で取得したワードの価値に基づき、ワードの価値の年平均や月平均、週平均など、ワードの価値の統計情報を求める。

【0053】

出現数取得部１１１は、前記匿名情報を構成する語の出現数を求める。例えば、匿名情報において、一個人の情報を一つのデータ（１レコード）とし、同じ情報（語）が幾つ出現したかを出現数としてカウントする。なお、各個人の情報が、単一の項目からなる場合には、当該項目の値である語が同じもの毎に出現数をカウントし、複数の項目からなる場合には、当該複数の項目の値である語の組み合わせが同じもの毎に出現数をカウントする。

【0054】

また、出現数取得部１１１は、前記匿名情報を構成する語の出現数のうち最少の出現数を最少出現数とし、前記匿名情報を構成する語の全数に対する前記最少出現数の割合を最少出現率として求める出現率取得部として機能しても良い。

【0055】

権限決定部１１２は、前記匿名情報の出現数又はこの出現数に基づいて算出した最少出現率等の値に基づいて当該匿名情報のアクセス権限を決定し、匿名情報に付加して匿名情報ＤＢ１４５に記憶させる。権限決定部１１２は、例えば、匿名情報の出現数又は前記出現数に基づいて算出した出現率等の値と前記アクセス権限とを対応付けて記憶した権限記憶部を参照して、前記権限決定部が前記匿名情報の出現数に基づく前記アクセス権限を決定する。

【0056】

図４は、個人情報ＤＢ１３１の一例を示す図である。個人情報ＤＢ１３１は、データ取得部１０１が他のコンピュータから受信した個人情報やキーボード等の匿名化前の個人情報を記憶している。図４の個人情報は、例えば、個人ＩＤ、年齢、住所、車名等を記憶している。

【0057】

個人ＩＤは、会員番号やシリアル番号等の個人を識別するための識別情報であり、氏名や電話番号、メールアドレスであっても良い。

【0058】

車名は、当該個人の車を識別する情報であり、名称、通称、愛称等である。なお、本願において車名は、年式や型番等の識別情報を含んでも良い。

【0059】

公開条件ＤＢ１３２は、公開可能な匿名情報の条件を記憶し、例えば「最少出現数が３０以上の場合に公開可、但し外部公開不可」「キーワード＝○○○が含まれている場合、△月□日以降公開可」のように、公開可能な最少出現数や、社外への公開の可否、公開不可とするキーワードを公開条件として記憶している。なお、公開条件は、「辞書ＩＤ＝Ｄ1を用いた場合、最少出現数が５以上の場合に内部公開可、それ以下の場合は公開不可と
し、また、最少出現数が１０以上の場合に外部公開可、それ以下の場合は外部公開不可とする」といったように、匿名化に用いた辞書に応じて公開の可否を定める条件であっても良い。

【0060】

また、匿名情報ＤＢ１４５は、匿名化装置１０で匿名化した匿名情報を記憶している。匿名情報ＤＢ１４５は、匿名化前の個人情報が異なる匿名情報や匿名化に用いる辞書が異なる匿名情報等、複数の匿名情報を記憶すると共に、これらの匿名情報へのアクセスを管理するための情報を記憶する。

【0061】

図５は、匿名情報ＤＢ１４５に記憶される匿名情報の一例を示す図である。匿名情報は、個人情報の各語を抽象化したものであり、図５の例では、年代、住所（都道府県名）、車種、最少出現数を対応付けて記憶している。

【0062】

図６は、匿名情報へのアクセスを管理するための情報（以下アクセス管理情報とも称す）の一例を示す図である。このアクセス管理情報は、図６に示すように、例えば、レベル、匿名情報ＩＤ、使用辞書、最少出現率、情報種別、概要等を含んでいる。ここで、レベルは、当該匿名情報にアクセス可能な権限を示す情報であり、後述のように当該匿名情報の最少出現数や最少出現数に基づいて算出した最少出現率等の値に基づいて求めている。

【0063】

匿名情報ＩＤは、匿名情報を一意に識別する情報である。使用辞書は、当該匿名情報の匿名化に用いた辞書を示す情報であり、例えば各辞書の識別情報である。最少出現率は、当該匿名情報を構成する語の全数に対する最少出現数の割合である。ここで最少出現数は
、当該匿名情報において同じ属性値を持つ個人の人数、即ち匿名情報を構成する語の出現数のうち最少のものである。

【0064】

情報種別は、当該匿名情報が複数の個人情報に基づく統計情報であるか、特定の事業者が持つ個人情報を匿名化したものか等の種別を示す。図６の例では、匿名情報が、複数の匿名情報の平均や合計を求めた統計情報の場合に、この種別を平均又は合計と示し、特定の事業者の個人情報を匿名化したものの場合、この事業者の名称を示している。概要は、当該匿名情報の説明であり、例えば匿名情報に含まれる項目や匿名化の条件を示す。

【0065】

なお、匿名情報ＤＢ１４５は、匿名化装置１０又は管理サーバ２０が備えた記憶装置に格納されたものでも良いし、匿名化装置１０及び管理サーバ２０からアクセス可能であれば独立したファイルサーバ等の装置に格納されたものでも良い。

【0066】

また、管理サーバ２０は、図３に示すように、要求受付部２０１や、アクセス制御部２０２、出力制御部２０３、ユーザ管理ＤＢ２５１を備えている。

【0067】

要求受付部２０１は、匿名情報を取得するためのアクセス要求を利用者の端末から受信する。

【0068】

アクセス制御部２０２は、利用者からのアクセス要求を受信した場合に、当該利用者の権限レベルと対応する匿名レベルの匿名情報へのアクセスを許可する。

【0069】

出力制御部２０３は、アクセス制御部２０２によってアクセスを許可した匿名情報を匿名情報ＤＢ１４５から読み出して出力する。例えば要求元の利用者の端末３０へ送信する。ここで、匿名情報の出力とは、表示装置による表示出力や、プリンタによる印刷出力、他のコンピュータへの送信、記憶媒体への書き込み等であっても良い。

【0070】

図７は匿名化装置１０のハードウェア構成を示す図である。匿名化装置１０は、ＣＰＵ１１、メモリ１２、通信制御部１３、記憶装置１４、入出力インタフェース１５を有する所謂コンピュータである。

【0071】

ＣＰＵ１１は、メモリ１２に実行可能に展開されたプログラムを実行し、前述のデータ取得部１０１や、抽象化部１０２、検定部１０３、選択部１０４、価値判定部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、出現数取得部１１１、権限決定部１１２の機能を提供する。

【0072】

メモリ１２は、主記憶装置ということもできる。メモリ１２は、例えば、ＣＰＵ１１が実行するプログラムや、通信制御部１３を介して受信したデータ、記憶装置１４から読み出したデータ、その他のデータ等を記憶する。

【0073】

通信制御部１３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース１５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray（登録商標） Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置１４に格納する。

【0074】

記憶装置１４は、外部記憶装置ということもできる。記憶装置１４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置１４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置１４は、ドライブ装置からインストールされるプログラム等を記憶する。また、記憶装置１４は、プログラムを読み出し、メモリ１２に引き渡す。本実施形態では、記憶装置１４が前述の、個人情報ＤＢ１３１及び公開条件ＤＢ１３２を格納している。

【0075】

図８は管理サーバ２０のハードウェア構成を示す図である。管理サーバ２０は、ＣＰＵ２１、メモリ２２、通信制御部２３、記憶装置２４、入出力インタフェース２５を有する所謂コンピュータである。

【0076】

ＣＰＵ２１は、メモリ２２に実行可能に展開されたプログラムを実行し、前述の要求受付部２０１や、アクセス制御部２０２、出力制御部２０３の機能を提供する。

【0077】

メモリ２２は、主記憶装置ということもできる。メモリ２２は、例えば、ＣＰＵ２１が実行するプログラムや、通信制御部２３を介して受信したデータ、記憶装置２４から読み出したデータ、その他のデータ等を記憶する。

【0078】

通信制御部２３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース２５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置２４に格納する。

【0079】

記憶装置２４は、外部記憶装置ということもできる。記憶装置２４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置２４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置２４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置２４は、プログラムを読み出し、メモリ２２に引き渡す。本実施形態では、記憶装置２４が前述のユーザ管理ＤＢ２５１を格納している。

【0080】

図９は、ユーザ管理ＤＢ２５１が記憶するユーザ管理情報の一例を示す図である。図９に示すように、ユーザ管理ＤＢ２５１は、各ユーザの識別情報（ユーザＩＤ）と、権限情報と、使用可能辞書の情報を対応つけてユーザ管理情報としている。

【0081】

§３．匿名化方法
次に本実施形態の匿名化方法について説明する。図１０は、匿名化装置１０がプログラムに従って実行する匿名化方法の概略を示した説明図である。図１０に示すように、匿名化装置１０は、先ず匿名化情報を取得し(ステップＳ１)、この匿名情報が公開条件を満たしているか否かを判定し(ステップＳ２)、公開条件を満たした匿名情報にアクセス権限を設定する(ステップＳ３)。

【0082】

なお、ステップＳ１における匿名化情報の取得は、個人情報を有する事業者が匿名化した匿名情報をそれぞれの事業者から匿名化装置１０が受信するものでも良いし、それぞれの事業者から匿名化装置１０が個人情報を受信し、匿名化して取得するものでも良い。

【0083】

図１１は、匿名化の処理を示す図である。匿名化装置１０は、匿名化の処理を行う場合
、図１１に示すように、先ず他のコンピュータ或いは入力手段から個人情報を取得（受信）し（ステップＳ１０）、この個人情報を所定形式となるよう正規化して個人情報ＤＢ１３１に登録する（ステップＳ２０）。

【0084】

匿名化装置１０は、個人情報を個人情報ＤＢ１３１から対象データとして読み出す（ステップＳ３０）。ここで、匿名化装置１０は、個人情報に個人ＩＤや氏名、電話番号、メールアドレスのように、個人を識別するための情報で、抽象化したのでは意味の無いデータは、読み出さずに対象データから外しても良い。
次に匿名化装置１０は、対象データ中の各ワードについて、価値データが検索情報蓄積ＤＢ１３３に存在するか否か、即ち既に価値データを取得済みか否かを判定する（ステップＳ４０）。匿名化装置１０は、全てのワードの価値データが検索情報蓄積ＤＢ１３３に存在する場合にはステップＳ６０へ移行し（ステップＳ４０，Ｙｅｓ）、足りない価値データがある場合（ステップＳ４０，Ｎｏ）、当該ワードの価値データを外部の装置、本例では検索エンジン９０から取得する（ステップＳ５０）。なお、検索エンジンから取得した価値データ以外、即ち検索情報蓄積ＤＢ１３３に存在したワードの価値情報は、検索情報蓄積ＤＢ１３３から取得する（ステップＳ６０）。

【0085】

また、匿名化装置１０は、匿名性を満たすため対象データの各項目を抽象化したワード（カテゴリ）に置き換えることで抽象化し、抽象化候補データを作成する（ステップＳ７０）。各ワードの抽象化は、図１２〜図１４に示すように抽象化前のワードと抽象化後のワードとを対応付けて記憶した辞書を用いて、抽象化前のワードと対応する抽象化後のワードにおきかえる。図１２は、車名と対応するメーカ名に抽象化する辞書の例を示している。図１３は、車名と対応する車種に抽象化する辞書の例を示している。図１４は、車名と対応する車両の区分に抽象化する辞書の例を示している。図１２〜図１４では、車名の項目についてのみ示したが、年齢や住所等、他の項目についても同様に対応するワードが各辞書に含まれている。各辞書は、システム１００側で一意に識別できるように、辞書ＩＤが付されており、例えば図１２〜図１４の辞書の辞書ＩＤはＤ１〜Ｄ３である。

【0086】

また、抽象化可能な項目が複数存在する場合には、各項目を抽象化した場合と抽象化しない場合の全てのパターンを作成する。例えば対象データに三つの項目Ａ，Ｂ，Ｃが含まれ、全項目について抽象化が可能で、抽象化した項目をＡ´，Ｂ´，Ｃ´とした場合、図１５に示すように、項目Ａだけを抽象化した場合Ａ´，Ｂ，Ｃ、項目Ａ，Ｂを抽象化した場合Ａ´，Ｂ´，Ｃなど、七つの候補パターンが作成できる。また、全項目を用いるものに限らず、Ａ´，ＢやＢ´，Ｃなど、一部の項目を用いた候補パターンを作成しても良い。

【0087】

次に匿名化装置１０は、抽象化候補データに含まれる各ワードの価値データに基づいて各パターンの抽象化候補データの価値を算出し（ステップＳ８０）、この抽象化候補データの価値に基づいて検定の順番を決定する（ステップＳ９０）。例えばこの価値が高い順（降順）に検定の順番を決定する。なお、全ての候補パターンについて検定を行うことが望ましいが、この抽象化候補データの価値に基づき、価値の低過ぎる抽象化候補データを順番から外しても良い。例えば、価値の高い順番で、所定番目以降或いは半分未満など所定割合未満の抽象化候補データを外しても良い。また、抽象化候補データの価値が対象データの価値に対して所定割合未満となった抽象化候補データを外しても良い。これにより検定数が少なくなり、処理時間の短縮化が図れる。

【0088】

この検定の順番に従い、匿名化装置１０は、抽象化候補データの匿名性を検定する（ステップＳ１００）。例えば、ｋ−匿名性を検定するため、一個人と対応付けられた異なる項目の値の組み合わせが当該抽象化候補データ中に存在する数（存在数）を求める。或いは、ｌ多様性を検定するため、一個人と対応付けられた同じ項目の値の組み合わせが当該
抽象化候補データ中に存在する数（存在数）を求める。そして、この存在数のうち最小のものを最低出現数（ｋ値／ｌ値）として求め（ステップＳ１１０）、この最低出現数が１を超えているか否かを判定する（ステップＳ１２０）。即ち、ここでｋ値が１を超えていればｋ−匿名性を満たし、１であればｋ−匿名性を満たさない。同様にｌ値が１を超えていればｌ−多様性を満たし、１であればｌ−多様性を満たさない。

【0089】

最低出現数（ｋ値／ｌ値）が１を超えていない場合（ステップＳ１２０，Ｎｏ）、匿名化装置１０は、抽象化候補データのうち、少なくとも一つの項目の値を更に抽象化する、即ち抽象化したワードに置き換え（ステップＳ１３０）、ステップＳ１００に戻る。

【0090】

一方、最低出現数（ｋ値／ｌ値）が１を超えている場合（ステップＳ１２０，Ｙｅｓ）、匿名化装置１０は、当該抽象化候補データの価値と元の対象データの価値との差分を求め（ステップＳ１４０）、この差分や、この差分に基づく値、例えば対象データの価値に対する差分の割合、対象データの価値に対する抽象化候補データの価値の割合を当該抽象化候補データの価値として決定する（ステップＳ１５０）。

【0091】

また、匿名化装置１０は、検定していない候補パターンがあるか否かを判定し（ステップＳ１６０）、検定していない候補パターンがあれば（ステップＳ１６０，Ｙｅｓ）、ステップＳ９０で決定した順番に従って、次の順番の抽象化候補データを特定し（ステップＳ１７０）、ステップＳ１００に戻って次の抽象化候補データについて検定を行う。

【0092】

このように各パターンの抽象化候補データについて検定を繰り返し、次の候補パターンが無くなった場合（ステップＳ１６０，Ｎｏ）、匿名化装置１０は、ステップＳ１５０で求各抽象化候補データの価値に基づいて、採用すべき抽象化候補データを選択し（ステップＳ１８０）、匿名情報として匿名情報ＤＢ１４５に記憶する（ステップＳ１９０）。

【0093】

抽象化候補データの選択は、例えば、全候補パターンの中で価値の高い順に所定数の抽象化候補データを選択する。また、匿名化装置１０は、全候補パターンの中から価値の高い順に複数の抽象化候補データを出力し、この出力された抽象化候補データの中から操作者が適切だと思う抽象化候補データを指定し、この指定された抽象化候補データを選択しても良い。
次に図１６−図２３を用いて本実施形態におけるデータの価値について説明する。図１６は対象データにおける年齢の項目の一部の例を示す図である。図１６に示すように対象データは、年齢ｓｉ毎に人数ｃｉを有している。例えば、１８歳（ｓ１）の人数（ｃ１）が３０人、１９歳（ｓ２）の人数（ｃ２）が１０人である。

【0094】

図１７は、年齢ｓｉについて取得する価値データの一例を示す。図１７の価値データは、年齢ｓｉ毎にＳＥＭ単価ｅｉを有している。

【0095】

この年齢ｓｉの価値は、ＳＥＭ単価ｅｉに人数ｃｉを乗じた値であり、式１で示される。

【0096】

ｓｉ＝ｃｉ×ｅｉ ・・・（式１）
そして、図１８に示すように年齢の項目Ｓ（ｅ）の価値は、各年齢ｓｉの総計であり、式２で示される。なお、図１８においてｎは５である。従って、年齢の項目Ｓ（ｅ）の価値は、図１９に示すように、２４４６円である。また、対象データにおける全ての項目の価値を合計したものが対象データの価値である。

【0097】

一方、図２０は抽象化候補データにおける年齢の項目の一部の例を示す図である。図２０に示すように抽象化候補データは、年代ｋｉ毎に人数ｃｉを有している。例えば、１０
代（ｋ１）の人数（ｃ１）が４０人、２０代（ｋ２）の人数（ｃ２）が２２人である。

【0098】

図２１は、年代ｋｉについて取得する各ワードの価値データの一例を示す。図２１の価値データは、年代ｋｉ毎にＳＥＭ単価ｅｉを有している。

【0099】

この年代ｋｉの価値は、ＳＥＭ単価ｅｉに人数ｃｉを乗じた値であり、式３で示される。

【0100】

ｋｉ＝ｃｉ×ｅｉ ・・・（式３）
そして、図２２に示すように年代の項目Ｓ（ｋ）の価値は、各年代ｋｉの総計であり、式４で示される。なお、図２２においてｎは２である。従って、年齢の項目Ｓ（ｋ）の価値は、図２３に示すように、２１３４円である。即ち、年齢の項目を年代に抽象化したことにより、価値が３１２円減損したことになる。また、抽象化候補データにおける全ての項目の価値を合計したものが抽象化候補データの価値である。

【0101】

そして、ステップＳ１５０で求める抽象化候補データの価値として、例えば式５に示すように、抽象化候補データの価値を抽象化候補データの価値と対象データの価値の合計で除した減損率Ｍ（ｋ）を求める。

【0102】

Ｍ（ｋ）＝Ｓ（ｋ）／（Ｓ（ｋ）＋Ｓ（ｅ）） ・・・（式５）
このように本実施形態の匿名化装置１０は、各抽象化候補データの価値を抽象化したワードの価値に基づいて評価することにより、自動で適切な匿名化処理を行うことができる。即ち、抽象化の程度を異ならせて、多数の匿名情報を自動生成するといったことができる。

【0103】

図２４は、匿名化装置１０が匿名情報の公開条件を確認する処理を示す図である。公開条件を確認するステップＳ２では、図２４に示すように匿名化装置１０は、ステップＳ１で取得した匿名情報について公開条件を確認する匿名情報を対象データとして記憶装置１４から読み出し（ステップＳ２１０）、公開条件を確認していない匿名情報、即ち未確認の匿名情報が存在するか否かを判定し（ステップＳ２２０）、未確認の匿名情報が存在しなければ処理を終了し（ステップＳ２２０，Ｎｏ）、未確認の匿名情報が存在すれば（ステップＳ２２０，Ｙｅｓ）、ステップＳ２３０に移行する。

【0104】

ステップＳ２３０では、未確認の匿名情報を権限設定ＤＢ１３５の権限情報と照合し、当該匿名情報に対応する権限情報が権限設定ＤＢ１３５に記憶されているか否かを判定する（ステップＳ２４０）。

【0105】

ステップＳ２４０において、当該匿名情報に対応する権限情報が権限設定ＤＢ１３５に記憶されていない、例えば当該匿名情報の提供元や提供先と一致する情報が権限設定ＤＢ１３５に無く、対応する権限情報が記憶されていないと判定された場合（ステップＳ２４０、Ｎｏ）、権限設定ＤＢ１３５へ新規に権限情報を追加する。新規権限情報を追加する場合、匿名化装置１０は、例えば当該匿名情報の提供元の事業者の装置から権限情報を取得して権限設定ＤＢ１３５に記憶させる（ステップＳ２４５）。なお、匿名化装置１０は、新規権限情報を追加する場合、匿名化装置１０の操作者に権限情報の入力を促し、権限情報が入力された場合に、この権限情報を権限設定ＤＢ１３５に記憶させても良い。

【0106】

ステップＳ２４５の処理により匿名情報に対する権限情報が権限設定ＤＢ１３５に記憶された場合や、ステップＳ２４０で匿名情報に対応する権限情報が権限設定ＤＢ１３５に全て記憶されていると判定した場合、（ステップＳ２４０、Ｙｅｓ）、この匿名情報を一時処理ＤＢ１３４に格納する（ステップＳ２５０）。

【0107】

次に匿名化装置１０は、一時処理ＤＢ１３４に格納した匿名情報が、公開条件ＤＢ１３２の公開条件に合致しているか否かを判定する（ステップＳ２６０）。ここで匿名情報が、公開条件ＤＢ１３２の公開条件に合致していなければ（ステップＳ２６０，Ｎｏ）、ステップＳ２１０に戻って次の匿名情報の処理に移る。一方、匿名情報が、公開条件ＤＢ１３２の公開条件に合致していれば（ステップＳ２６０，Ｙｅｓ）、当該匿名情報を匿名情報ＤＢ１４５に格納し、ステップＳ２１０に戻って次の匿名情報の処理に移る。

【0108】

図２５Ａは、権限設定ＤＢ１３５の一例を示す図である。権限設定ＤＢ１３５は、匿名化情報の最少出現数等の情報とアクセス権限（ランク）とを対応付けた権限設定情報を記憶している。即ち、権限設定ＤＢ１３５は、権限記憶部の一形態である。図２５Ａの例では、最少出現率の他、提供元や提供先、使用可能辞書の情報とアクセス権限（ランク）とを対応付けている。ここで、提供元は、匿名情報又は匿名化前の個人情報を提供した事業者を示す情報であり、提供元の事業者毎に各ランクの最少出現率や使用可能辞書が定められている。なお、図２５Ａの権限設定ＤＢ１３５では、複数の事業者に係る匿名情報を統計情報化したものの場合、提供元の項目に、平均や合計等、統計情報の種別を記憶している。提供先は、匿名情報の提供先（送信先）を示す情報である。最少出現率は、データ総数に対する最少出現数の割合であり、最少出現率が小さい場合、データ全体に対して個々のデータの占める割合が小さく、希釈された情報であるため、低いランクと対応付け、最少出現率が大きい場合、データ全体に対して個々のデータの占める割合が大きく、個々のデータから全体のデータを把握し易くなるため、高いランクと対応付けている。

【0109】

例えば、図２５Ａの権限設定ＤＢ１３５では、提供元が販売店Ｐであって、当該匿名情報の提供先が、同一事業者内、即ち販売店Ｐの場合には最少出現率が０．０５％未満でランクＡと対応付けられ、同匿名情報の提供先が、事業者外の場合には最少出現率が０．０５％未満でランクＣのように事業者内に提供する場合と比べて高いランクと対応付けられている。また、提供先は、提供先に応じたランクの指定が無い場合、制限無しとしても良い。更に、提供先は、特定の事業者名や業種としても良い。例えば競合する事業者が提供先の場合は、他の事業者（事業者外）に提供するよりも高いランクと対応付け、業務提携している事業者が提供先の場合は、他の事業者（事業者外）に提供するよりも低いランクと対応付けても良い。同様に提供先が自動車販売店の場合や自動車修理工場の場合等、業種によって指定されても良い。

【0110】

また、図２５Ａの権限設定ＤＢ１３５において、提供元が販売店Ｐであって、使用可能辞書がＤ１の場合、ランクＡ〜Ｄの何れかと対応付けられ、使用可能辞書がＤ２の場合、ランクＥと対応付けられている。

【0111】

なお、図２５Ａの権限設定ＤＢ１３５では、最少出現率を含む条件とランクを対応付けているが、これに限らず、図２５Ｂに示すように、最少出限数を含む条件とランクとを対応付けて記憶しても良い。

【0112】

例えば、図２５Ｂの権限設定ＤＢ１３５では、提供元が販売店Ｐであって、当該匿名情報の提供先が、同一事業者内の場合は最少出現数が５０以上でランクＡであるのに対し、同匿名情報の提供先が、事業者外の場合は最少出現数が５０以上でランクＣのように事業者内に提供する場合と比べて高いランクと対応付けられている。

【0113】

図２６は、公開条件ＤＢ１３２の一例を示す図である。公開条件ＤＢ１３２は、匿名条件の属性値と公開条件とを対応付けて記憶している。例えば、図２６では、属性値に応じた最少出現数を指定し、属性値に車種が含まれている場合、最少出現率が０．０５％未満であることを公開条件としている。即ち、匿名情報に車種が含まれている場合、最少出現
率が０．０５％未満であれば匿名情報ＤＢ１４５に格納して公開の対象とし、最少出現率が０．０５％以上であれば匿名情報ＤＢ１４５に格納せず非公開とする。同様に属性値にメーカ名が含まれている場合、最少出現率が０．１％未満であることを公開条件としている。また、公開条件を国内メーカとし、国内メーカの情報を抽出して公開の対象とし、国外メーカの情報を非公開としても良い。なお、本例において、国内メーカと国外メーカとの判別は、予めメーカ名毎に、国内メーカであるか国外メーカであるかを示すテーブルを用意しておき、匿名化装置１０は、このテーブルを参照し、メーカ名に応じて国内メーカか否かを判定する。また、公開条件として、公開する期日や期間を定めても良い。図２６の例では、匿名情報が、所定のキーワード“▽ベンタ○ール”を含む場合、公開条件が“○月○日以降”であるので、“▽ベンタ○ール”を含むレコード又は匿名情報について、○月○日以降は公開対象とし、○月○日までは非公開とする。また、図２６の例では、匿名情報が、所定のキーワード“力○一ラ”を含む場合、公開条件が“１月１日〜２月２８日”であるので、“力○一ラ”を含むレコード又は匿名情報について、１月１日〜２月２８日の期間は公開対象とし、この期間以外は非公開とする。

【0114】

図２４の公開条件の確認処理が完了した場合、匿名化装置１０は、次に各匿名情報のアクセス権限を設定する（ステップＳ３）。図２７は、このアクセス権限を設定する処理の具体例を示す。匿名化装置１０は、権限設定ＤＢ１３５から権限情報を取得し（ステップＳ３１０）、匿名情報ＤＢ１４５から各匿名情報の最少出現率等の情報、例えば最少出現率、提供元、提供先、使用辞書といった情報を読み出し、これらの情報と対応するアクセス権限を権限設定ＤＢ１３５から求めて、当該匿名情報のアクセス権限情報として匿名情報ＤＢ１４５に記憶させる（ステップＳ３２０）。

【0115】

例えば、匿名化装置１０は、権限設定ＤＢ１３５を参照し、ステップＳ３１０で取得した匿名情報の最少出現率、提供元、提供先、使用辞書が全て適合するランクを当該匿名情報のアクセス権限情報として決定する。なお、最少出現率のように、低いランクの条件に適合した際、それよりも高いランクの条件にも同時に適合する場合、最も低いランクに決定する。図２５Ａの例では、提供元が販売店Ｐ、提供先が同一事業者内、即ち販売店Ｐ、使用辞書がＤ１、最少出現率が０．０５％未満の場合、匿名化装置１０は、アクセス権限をランクＡと決定する。また、提供元が販売店Ｐ、提供先が事業者外、使用辞書がＤ１、最少出現率が０．０５％未満の場合、匿名化装置１０は、アクセス権限をランクＣと決定する。そして、提供元が販売店Ｐ、提供先が同一事業者内、使用辞書がＤ２、最少出現率が０．２％の場合、使用可能辞書以外はランクＣの条件を満たすが、辞書Ｄ２と適合する使用可能辞書はランクＥであるため、匿名化装置１０は、アクセス権限をランクＥと決定する。

【0116】

また、匿名化装置１０は、これらの匿名情報について合計、平均、標準偏差等の統計情報を求め、ステップＳ３２０と同様に当該統計情報のアクセス権限を求め、当該統計情報とアクセス権限とを対応付けて匿名情報ＤＢ１４５に記憶させる（ステップＳ３３０）。

【0117】

上記のようにアクセス権限を付加した匿名情報に対するアクセス管理について、次に説明する。図２８は、管理サーバ２０が匿名情報のアクセス権限に応じて当該匿名情報へのアクセスを管理するアクセス管理方法の説明図である。

【0118】

管理サーバ２０は、ユーザ端末３０から匿名情報へのアクセス要求を受けた場合に、図２８の処理を開始し、まずユーザの認証を行う（ステップＳ４１０）。ユーザの認証処理は、管理サーバ２０が、ユーザＩＤやパスワード等の認証情報をユーザ端末３０から受信し、この認証情報を登録済の情報と比較して一致していれば認証成功として次のステップＳ４３０へ移行し、一致しなければ認証失敗として図２８の処理を終了する。なお、管理サーバ２０が、ウエブサーバの機能を有し、匿名情報等の情報をウエブページとして提供
し、ユーザ端末３０が所謂ウエブブラウザの機能によって管理サーバ２０にアクセスする構成の場合、認証情報はHTTP Cookie等によってユーザ端末３０から管理サーバ２０へ送
信されても良い。また、認証情報は、ユーザの操作によってキーボード等の入力手段から入力され、ユーザ端末３０から管理サーバ２０へ送信されても良い。

【0119】

認証が成功した場合、管理サーバ２０は、ユーザ管理ＤＢ２５１から当該ユーザのユーザ管理情報を取得する（ステップＳ４２０）。このユーザ管理情報は、例えば図９のようにユーザＩＤ、アクセス権限、使用可能辞書等の情報を対応付けてユーザ管理ＤＢ２５１に記録されたものである。ユーザＩＤは、各ユーザを一意に識別するための識別情報である。ユーザのアクセス権限は、当該ユーザの持つ権限、即ち当該ユーザのアクセスが可能な匿名情報の範囲を示す情報である。特に、図９の例では、アクセス権限の範囲（アクセス可能な範囲）をランクで示している。例えば権限の低い（アクセス可能な範囲が狭い）順にランクＡ〜Ｅとした場合、ランクＡはランクＡの匿名情報をアクセス範囲とし、ランクＢはランクＡとランクＢの匿名情報をアクセス範囲とし、ランクＥはランクＡからランクＥの匿名情報をアクセス範囲とする。このように上位の権限の範囲に、下位の権限の範囲が含まれるように設定しても良いし、各権限を独立に設定しても良い。例えば、権限Ａと権限Ｅを有するユーザは、権限Ａ、Ｅの匿名情報のみアクセスでき、権限Ｂ，Ｃ，Ｄにはアクセスできない、というように設定しても良い。

【0120】

そして管理サーバ２０は、当該ユーザの権限内の匿名情報、即ち当該ユーザのアクセス権限でアクセス可能な匿名情報の概要情報を匿名情報ＤＢ１４５から取得する（ステップＳ４３０）。この概要情報の取得は、図６に示すように、予め各匿名情報のアクセス管理情報に記録されている概要情報を読み出すものでも良いし、項目名や匿名情報の一部のデータを概要情報として読み出しても良い。

【0121】

管理サーバ２０は、この取得した概要情報をユーザ端末３０に送信し（ステップＳ４４０）、提供する匿名情報の選択を促す（ステップＳ４５０）。例えば管理サーバ２０が、概要情報を一覧表示させるウエブページとしてユーザ端末３０へ提供すると共に、キーワード検索や絞り込みのための入力欄を表示させて匿名情報の選択を促す。

【0122】

そして、ユーザが前記概要情報の一覧の中から匿名情報を選択して、ユーザ端末３０からリクエストし、管理サーバ２０がこのリクエストを受信すると（ステップＳ４６０）、管理サーバ２０は、この匿名情報のアクセス権限とユーザのアクセス権限とを比較して（ステップＳ４７０）、当該ユーザが当該匿名情報にアクセスする権限を有しているか否かを再確認する（ステップＳ４８０）。

【0123】

この結果、管理サーバ２０は、当該ユーザが当該匿名情報にアクセスする権限を有していないと判定した場合には（ステップＳ４８０，Ｎｏ）、図２８の処理を終了し、当該ユーザが当該匿名情報にアクセスする権限を有していると判定した場合には（ステップＳ４８０、Ｙｅｓ）、利用日時や当該ユーザの情報（ユーザＩＤ等）を履歴情報として記憶装置２４に記憶させる（ステップＳ４９０）。また、管理サーバ２０は、リクエストを受けた匿名情報を匿名情報ＤＢ１４５から取得し（ステップＳ５００）、リクエスト元のユーザ端末３０に送信して表示させる（ステップＳ５１０）。

【0124】

このようにアクセス権限に基づいて権限を有するユーザにのみ匿名情報を送信するので、匿名情報に対するアクセス制御を適切に行うことができる。特に、本実施形態によれば、アクセス管理に用いる匿名情報のアクセス権限を最少出現率等の情報から求め、アクセス権限を自動で設定できる。このため、個人情報を抽象化して匿名化する際に、複数の抽象化候補を生成し、抽象化後の価値に基づいて選択した抽象化候補を匿名情報とするシステムにおいても、前述のように最少出現率等の情報から匿名情報にアクセス権限を付加す
ることで、人手を要することなくアクセス管理を行うことができる。

【0125】

〈実施形態２〉
図２９は本実施形態２に係る匿名化システムの機能ブロック図である。本実施形態２の匿名化システム２００は、複数の事業者が出展する展示会において、各事業者が来場者から収集した個人情報の匿名化を行うシステムであり、各事業者の匿名化装置１０や、各事業者で匿名化した匿名情報を管理する管理サーバ２０を有する。

【0126】

本実施形態２の匿名化システム２００では、管理サーバ２０が、各事業者の匿名化装置１０から夫々匿名化辞書を取得し、各事業者の匿名化辞書を統合して統合匿名化辞書を生成し、各統合匿名化辞書にＩＤを付して各事業者の匿名化装置１０へ配信する。そして、各事業者の匿名化装置１０が共通の統合匿名化辞書を用いて個人情報を匿名化して匿名情報とし、匿名情報ＤＢ（Data Base）１４５に登録し、前記統合匿名化辞書のＩＤや最少
出現率に基づいて、当該匿名情報に対するアクセスの管理を行う。

【0127】

図２９に示すように、管理サーバ２０は、要求受付部２０１や、アクセス制御部２０２、出力制御部２０３、ユーザ管理ＤＢ２５１、辞書取得部２１１、統合部２１２、優先度決定部２１３、辞書管理部２１４、匿名情報登録部２１５、匿名情報制御部２１６、選択部２１７、辞書ＤＢ２３１、優先度ＤＢ２３２を備えている。即ち、本実施形態１の管理サーバ２０は、辞書取得部２１１、統合部２１２、優先度決定部２１３及び選択部２１７を備えた辞書作成装置でもある。

【0128】

要求受付部２０１は、匿名情報を取得するためのアクセス要求を利用者の端末から受信する。

【0129】

アクセス制御部２０２は、利用者からのアクセス要求を受信した場合に、当該利用者の権限レベルと対応する匿名レベルの匿名情報へのアクセスを許可する。

【0130】

出力制御部２０３は、アクセス制御部２０２によってアクセスを許可した匿名情報を匿名情報ＤＢ１４５から読み出して出力する。例えば要求元の利用者の端末３０へ送信する。ここで、匿名情報の出力とは、表示装置による表示出力や、プリンタによる印刷出力、他のコンピュータへの送信、記憶媒体への書き込み等であっても良い。

【0131】

辞書取得部２１１は、対象データに含まれる語を抽象化した語に替えて匿名化するため、前記語と前記抽象化した語とを対応付けて記憶した複数の匿名化辞書を各事業者の匿名化装置１０から取得する。本実施形態では、各事業者の匿名化装置１０から送信された匿名化辞書を辞書取得部２１１が受信し、辞書ＤＢ２３１に登録する。

【0132】

統合部２１２は、各事業者の匿名化装置１０から取得した複数の匿名化辞書を統合して統合匿名化辞書を作成する。例えば統合部２１２は、複数の匿名化辞書に含まれる各語の対応関係に基づいて、抽象化した語を上位、抽象化前の語を下位とし、前記複数の匿名化辞書に含まれる各語と、前記複数の匿名化辞書に存在する上位及び下位の語とを対応付け、対応する上位の語が存在しない最上位の語をルートとして対応する下位の語が存在しない最下位の語までのツリー状の対応関係にある語の次元を前記最上位の語毎に生成し、統合匿名化辞書として辞書ＤＢ２３１に記憶させる。この各最上位の語をルートとするツリー状の語の次元が統合匿名化辞書を構成する。

【0133】

優先度決定部２１３は、前記統合匿名化辞書を構成する次元の夫々について、当該次元に含まれる語に基づいて優先度を決定する。例えば、優先度決定部２１３は、各次元に含まれる語の数、各次元に含まれる語について上位と下位の関係にある段階の数、各次元に
含まれる語の価値のうち少なくとも一つに基づいて前記優先度を決定する。なお、前記語について予め定めた値を、例えば優先度ＤＢ２３２が記憶しておき、優先度決定部２１３は、優先度ＤＢ２３２を参照して優先度を決定する。

【0134】

選択部２１７は、前記統合部２１２で生成した複数の次元のうち、統合匿名化辞書として採用する次元と採用しない次元とを前記優先度に基づいて選択する。

【0135】

辞書管理部２１４は、統合部２１２で作成された統合匿名化辞書を管理する。例えば辞書管理部２１４は、統合匿名化辞書を辞書ＤＢ２３１から読み出して各事業者の匿名化装置１０へ配信する。

【0136】

匿名情報登録部２１５は、各事業者の匿名化装置１０から匿名情報を取得し、共通ＤＢ２３３に登録する。

【0137】

匿名情報制御部２１６は、共通ＤＢ２３３に登録された匿名情報の出力処理等を制御する。例えば、匿名化装置１０等の情報処理装置から匿名情報の取得要求を受けた場合に、該当する匿名情報を要求元の情報処理装置へ配信する。本実施形態１において、匿名情報制御部２１６は、出力部の一形態である。

【0138】

図３０は辞書ＤＢ２３１の例を示す図である。辞書ＤＢ２３１は、抽象化前のワード（以下、下位のワードとも称す）と、当該ワードを抽象化した後のワード(以下、上位のワ
ードとも称す)とを対応付けて記憶している。

【0139】

図３１は、優先度ＤＢ２３２の例を示す図である。優先度ＤＢ２３２は、各ワードについて、優先度を決定するための値（価値）を記憶している。図３１の例では、各ワードに対して、１日当たりのクリック数、１日当たりの表示回数、参入企業数、１日当たりのコスト、クリック率、ＳＥＭ価格（獲得価格）など、ＳＥＭに用いられる値が記憶されている。

【0140】

図３２は、共通ＤＢ２３３の例を示す図である。共通ＤＢ２３３は、各事業者の匿名化装置１０で統合匿名化辞書を用いて匿名化した匿名情報を記憶している。図３２の例では、来訪ブース、年齢、性別、所属企業、役職、興味を示した商品、ステータスなどの項目のデータを記憶している。この項目や各項目の抽象化の程度は、後述のように統合匿名化辞書や検定の結果等によって決まる。

【0141】

また、各事業者の匿名化装置１０は、図２９に示すように、データ取得部１０１や、抽象化部１０２、検定部１０３、選択部１０４、価値判定部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、出現数取得部１１１、権限決定部１１２、出力制御部１２１、個人情報ＤＢ１３１、公開条件ＤＢ１３２、検索情報蓄積ＤＢ１３３、一時処理ＤＢ１３４、権限設定ＤＢ（権限記憶部）１３５を備えている。

【0142】

データ取得部１０１は、個人と対応付けられた複数の項目を含むデータ、即ち個人情報を対象データとして取得する。例えば来場者が記載したアンケートや来場者から聞き取った個人情報をキーボード等から入力して個人情報ＤＢ１３１に記憶しておき、この個人情報を個人情報ＤＢ１３１からデータ取得部１０１が対象データとして読み出す。また、来場者の名刺やアンケートに記載された事項を読み取り、ＯＣＲ（Optical Character Recognition）により電子データとしても良いし、来場者のＲＦ−ＩＤタグやＩＣチップ等か
ら当該来場者の情報を取得しても良い。

【0143】

抽象化部１０２は、前記次元からなる統合匿名化辞書を参照し、前記対象データ中の項目の値である語を前記優先度に基づいて抽象化した語に替えて匿名化候補データを生成する。

【0144】

検定部１０３は、前記抽象化候補データの項目の値の組み合わせが、前記対象データの一個人に限定されないことを条件として検定する。例えば、検定部１０３は、抽象化候補データの項目の値の組み合わせが、ｋ−匿名性を満たすこと、或いはｌ−多様性を満たすことを条件として検定する。

【0145】

選択部１０４は、検定の条件を満たした抽象化候補データの価値に基づいて抽象化候補データを選択する。例えば、選択部１０４は、ｋ−匿名性やｌ−多様性を満たした抽象化候補データを価値が高い順に所定数選択する。また、選択部１０４は、ｋ−匿名性やｌ−多様性を満たした抽象化候補データのうち、最も価値が高い抽象化候補データを選択しても良い。

【0146】

価値判定部１０６は、抽象化候補データに含まれるワードの価値に基づいて当該抽象化候補データの価値を求める。

【0147】

価値データ取得部１０７は、抽象化候補データに含まれるワードの価値データを検索情報蓄積ＤＢから取得（受信）する。また、価値データ取得部１０７は、検索情報蓄積ＤＢに前記ワードの価値データが登録されていない場合に、他の装置にリクエストし、取得した価値データを検索情報蓄積ＤＢに登録する機能（データリクエスト）や、定期的に他の装置を巡回して最新の価値データを取得し、検索情報蓄積ＤＢに登録されている価値データを更新する機能（データクローラ）を有する。本実施形態では、この価値データとして検索エンジン９０から各ワードの統計情報を受信する。ここで、各ワードの統計情報は、例えばＳＥＭの広告単価（クリック単価）や、クリック率、平均掲載順位、１日の表示回数、１日のクリック数等である。なお、価値の取得先は、検索エンジンに限らず、ウェブページやＳＮＳ等であっても良い。この場合、例えばウェブページやＳＮＳにおける各ワードの使用頻度を価値としても良い。

【0148】

ワードカテゴリ分析部１０８は、ウェブサイト等のデータを分析して、新規のワードや、当該ワードを抽象化したワード（カテゴリ）を求め、検索情報蓄積ＤＢに登録する。

【0149】

価値計算部１０９は、価値データ取得部１０７で取得したワードの価値に基づき、ワードの価値の年平均や月平均、週平均など、ワードの価値の統計情報を求める。

【0150】

出現数取得部１１１は、前記匿名情報を構成する語の出現数を求める。例えば、匿名情報において、一個人の情報を一つのデータ（１レコード）とし、同じ情報（語）が幾つ出現したかを出現数としてカウントする。なお、各個人の情報が、単一の項目からなる場合には、当該項目の値である語が同じもの毎に出現数をカウントし、複数の項目からなる場合には、当該複数の項目の値である語の組み合わせが同じもの毎に出現数をカウントする。

【0151】

また、出現数取得部１１１は、前記匿名情報を構成する語の出現数のうち最少の出現数を最少出現数とし、前記匿名情報を構成する語の全数に対する前記最少出現数の割合を最少出現率として求める出現率取得部として機能しても良い。

【0152】

権限決定部１１２は、前記匿名情報の出現数又はこの出現数に基づいて算出した最少出現率等の値に基づいて当該匿名情報のアクセス権限を決定し、匿名情報に付加して匿名情報ＤＢ１４５に記憶させる。権限決定部１１２は、例えば、匿名情報の出現数又は前記出
現数に基づいて算出した出現率等の値と前記アクセス権限とを対応付けて記憶した権限記憶部を参照して、前記権限決定部が前記匿名情報の出現数に基づく前記アクセス権限を決定する。

【0153】

出力制御部１２１は、前記検定の条件を満たした抽象化候補データを匿名情報として出力する。例えば、出力制御部１２１は、匿名情報を管理サーバ２０へ送信する。

【0154】

図３３は、個人情報ＤＢ１３１の例を示す図である。個人情報ＤＢ１３１は、データ取得部１０１で取得した個人情報を記憶している。図３３の例では氏名、メール、所属企業名、役職、興味、ステータス等を記憶している。

【0155】

公開条件ＤＢ１３２は、公開可能な匿名情報の条件を記憶し、例えば「最少出現数が３０以上の場合に公開可、但し外部公開不可」「キーワード＝○○○が含まれている場合、△月□日以降公開可」のように、公開可能な最少出現数や、社外への公開の可否、公開不可とするキーワードを公開条件として記憶している。なお、公開条件は、「辞書ＩＤ＝Ｄ1を用いた場合、最少出現数が５以上の場合に内部公開可、それ以下の場合は公開不可と
し、また、最少出現数が１０以上の場合に外部公開可、それ以下の場合は外部公開不可とする」といったように、匿名化に用いた辞書に応じて公開の可否を定める条件であっても良い。

【0156】

また、匿名情報ＤＢ１４５は、匿名化装置１０で匿名化した匿名情報を記憶している。匿名情報ＤＢ１４５は、匿名化前の個人情報が異なる匿名情報や匿名化に用いる辞書が異なる匿名情報等、複数の匿名情報を記憶すると共に、これらの匿名情報へのアクセスを管理するための情報を記憶する。

【0157】

図３４は、匿名情報ＤＢ１４５に記憶される匿名情報の一例を示す図である。匿名情報は、個人情報の各語を抽象化したものであり、図３４の例では、年代、住所（都道府県名）、車種、最少出現数を対応付けて記憶している。

【0158】

図３５は、匿名情報へのアクセスを管理するための情報（以下アクセス管理情報とも称す）の一例を示す図である。このアクセス管理情報は、図３５に示すように、例えば、レベル、匿名情報ＩＤ、使用辞書、最少出現数率、情報種別、概要等を含んでいる。ここで、レベルは、当該匿名情報にアクセス可能な権限を示す情報であり、後述のように当該匿名情報の最少出現数や最少出現数に基づいて算出した最少出現率等の値に基づいて求めている。

【0159】

匿名情報ＩＤは、匿名情報を一意に識別する情報である。使用辞書は、当該匿名情報の匿名化に用いた辞書を示す情報であり、例えば各辞書の識別情報である。最少出現率は、当該匿名情報を構成する語の全数に対する最少出現数の割合である。ここで最少出現数は、当該匿名情報において同じ属性値を持つ個人の人数、即ち匿名情報を構成する語の出現数を求めた場合に、この同じ属性値毎の人数（出現数）のうち最少のものである。

【0160】

情報種別は、当該匿名情報が複数の個人情報に基づく統計情報であるか、特定の事業者が持つ個人情報を匿名化したものか等の種別を示す。図３５の例では、匿名情報が、複数の匿名情報の平均や合計を求めた統計情報の場合に、この種別を平均又は合計と示し、特定の事業者の個人情報を匿名化したものの場合、この事業者の名称を示している。概要は、当該匿名情報の説明であり、例えば匿名情報に含まれる項目や匿名化の条件を示す。

【0161】

なお、匿名情報ＤＢ１４５は、匿名化装置１０又は管理サーバ２０が備えた記憶装置に格納されたものでも良いし、匿名化装置１０及び管理サーバ２０からアクセス可能であれ
ば独立したファイルサーバ等の装置に格納されたものでも良い。

【0162】

図３６は管理サーバ２０のハードウェア構成を示す図である。管理サーバ２０は、ＣＰＵ２１、メモリ２２、通信制御部２３、記憶装置２４、入出力インタフェース２５を有する所謂コンピュータである。

【0163】

ＣＰＵ２１は、メモリ２２に実行可能に展開されたプログラムを実行し、前述の辞書取得部２１１や、統合部２１２、優先度決定部２１３、辞書管理部２１４、匿名情報登録部２１５、匿名情報制御部２１６、選択部２１７、要求受付部２０１、アクセス制御部２０２、出力制御部２０３の機能を提供する。

【0164】

メモリ２２は、主記憶装置ということもできる。メモリ２２は、例えば、ＣＰＵ２１が実行するプログラムや、通信制御部２３を介して受信したデータ、記憶装置２４から読み出したデータ、その他のデータ等を記憶する。

【0165】

通信制御部２３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース２５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置２４に格納する。

【0166】

記憶装置２４は、外部記憶装置ということもできる。記憶装置２４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置２４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置２４は、ドライブ装置からインストールされる情報処理プログラム等を記憶する。また、記憶装置２４は、プログラムを読み出し、メモリ２２に引き渡す。本実施形態では、記憶装置２４が前述の辞書ＤＢ２３１、優先度ＤＢ２３２、共通ＤＢ２３３を格納している。

【0167】

図３７は匿名化装置１０のハードウェア構成を示す図である。匿名化装置１０は、ＣＰＵ１１、メモリ１２、通信制御部１３、記憶装置１４、入出力インタフェース１５を有する所謂コンピュータである。

【0168】

ＣＰＵ１１は、メモリ１２に実行可能に展開されたプログラムを実行し、前述のデータ取得部１０１や、抽象化部１０２、検定部１０３、選択部１０４、価値判定部１０６、価値データ取得部１０７、ワードカテゴリ分析部１０８、ワード価値計算部１０９、出現数取得部１１１、権限決定部１１２、出力制御部１２１の機能を提供する。

【0169】

メモリ１２は、主記憶装置ということもできる。メモリ１２は、例えば、ＣＰＵ１１が実行するプログラムや、通信制御部１３を介して受信したデータ、記憶装置１４から読み出したデータ、その他のデータ等を記憶する。

【0170】

通信制御部１３は、ネットワークを介して他の装置と接続し、当該装置との通信を制御する。入出力インタフェース１５は、表示装置やプリンタ等の出力手段や、キーボードやポインティングデバイス等の入力手段、ドライブ装置等の入出力手段が適宜接続される。ドライブ装置は、着脱可能な記憶媒体の読み書き装置であり、例えば、フラッシュメモリカードの入出力装置、ＵＳＢメモリを接続するＵＳＢのアダプタ等である。また、着脱可能な記憶媒体は、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、
ブルーレイディスク（Blu-ray Disc）等のディスク媒体であってもよい。ドライブ装置は、着脱可能な記憶媒体からプログラムを読み出し、記憶装置１４に格納する。

【0171】

記憶装置１４は、外部記憶装置ということもできる。記憶装置１４としては、ＳＳＤ（Solid State Drive）やＨＤＤ等であってもよい。記憶装置１４は、ドライブ装置との間
で、データを授受する。例えば、記憶装置１４は、ドライブ装置からインストールされるプログラム等を記憶する。また、記憶装置１４は、プログラムを読み出し、メモリ１２に引き渡す。本実施形態では、記憶装置１４が前述の個人情報ＤＢ１３１、公開条件ＤＢ１３２、検索情報蓄積ＤＢ１３３、一時処理ＤＢ１３４、権限設定ＤＢ（権限記憶部）１３５を格納している。

【0172】

§３．匿名化方法
次に図３８〜図４５を用いて匿名化方法について説明する。図３８は、管理サーバ２０がプログラムに従って実行する統合匿名化辞書を作成する処理の説明図である。

【0173】

（３−１）統合匿名化辞書の作成
まず、管理サーバ２０は、各事業者の匿名化装置１０から各事業者の匿名化辞書を受信する（ステップＳ５１０）。

【0174】

次に管理サーバ２０は、各事業者の匿名化辞書を統合する（ステップＳ５２０）。なお、匿名化辞書を統合する際の具体的な処理については後述する。

【0175】

また、管理サーバ２０は、統合匿名化辞書を構成するワードの次元について、優先度を決定し（ステップＳ５３０）、この優先度に基づいて統合匿名化辞書に採用する次元と採用しない次元とを選択する（ステップＳ５４０）。
次に管理サーバ２０は、作成した統合匿名化辞書を一意に識別できるように、辞書ＩＤ当該統合匿名化辞書に付す（ステップＳ５５０）。辞書ＩＤは、例えば辞書を示す情報“Ｄ”と、作成順にカウントするシリアルナンバー“１，２，３・・・”とを組み合わせて生成される。
また、管理サーバ２０は、作成した統合匿名化辞書に係る権限情報を権限設定ＤＢ１３５に登録する。即ち、作成した統合匿名化辞書“Ｄ４”を用いて匿名化した匿名情報の最少出現率が０．０５％以下であればランクＡ、最少出現率が０．１％以下であればランクＣのように、作成した統合匿名化辞書を用いて匿名化した匿名情報の権限情報を判断するための権限情報を
例えば、提供元の事業者名や、当該事業者の業種、匿名化辞書のジャンル、匿名化辞書の重要度、統合した匿名化辞書の数といった匿名化辞書や提供元の事業者に係る情報と権限情報とを対応付けて記憶した権限テーブルを記憶装置２４に予め記憶しておき、管理サーバ２０は、取得した匿名化辞書や提供元の事業者に係る情報と対応する権限情報を権限テーブルから取得して権限設定ＤＢ１３５に登録する。また、ステップＳ５１０で、各事業者の匿名化装置１０から匿名化辞書と共に、ランクや提供先等の権限情報を受信し、これを当該事業者の権限情報として権限設定ＤＢ１３５に登録する。更に、管理サーバ２０は、担当者に権限情報の入力を促し、入力された権限情報を権限設定ＤＢ１３５に登録しても良い。

【0176】

そして、管理サーバ２０は、ステップＳ５４０で選択した次元から構成される統合匿名化辞書を各匿名化装置１０へ配信する（ステップＳ５５０）。

【0177】

図３９は、ステップＳ５２０における匿名化辞書を統合する処理の説明図である。管理サーバ２０は、先ず、各事業者の匿名化辞書を記憶した辞書ＤＢ２３１から最下位のワードを抽出する（ステップＳ６１０）。例えば各事業者の匿名化辞書には、図３０に示すよ
うに「ソフトＡ」を抽象化した語が「伝票ソフト」と記憶されており、「ソフトＡ」に対して一段階上位のワードが「伝票ソフト」であることがわかる。同様に、「ソフトＺ」を抽象化した語が「伝票ソフト」であり、「ソフトＢ」を抽象化した語が「会計ソフト」である。

【0178】

更に、「ソフトＡ」や「ソフトＺ」に対して一段階上位のワードである「伝票ソフト」についても一段階上位のワードが「業務ソフト」と記憶されている。

【0179】

このように辞書ＤＢ２３１に上位・下位の関係と共に記憶されているワードのうち、下位のワードと対応付けられていないワード、即ち最も下位のワードを一つ抽出する。

【0180】

次に管理サーバ２０は、ステップＳ６１０で抽出したワードより一つ上位のワードを求め、一つ上位の段階（抽象化レベル）を設定する（ステップＳ６２０）。例えば、ステップＳ６１０で抽出したワードが「ソフトＡ」であれば、「伝票ソフト」を一段階上位のワードとして抽出する。

【0181】

管理サーバ２０は、ステップＳ６２０で抽出したワードと対応する一つ下位のワードと同じ段階（抽象化レベル）のワードを抽出する（ステップＳ６３０）。例えば、ステップＳ６２０で抽出したワードが「伝票ソフト」であれば、「ソフトＡ」と同じ段階の「ソフトＺ」が抽出される。

【0182】

更に、管理サーバ２０は、ステップＳ６３０で抽出したワードと対応する下位のワードがあれば抽出し、対応する下位のワードが無くなるまで下位のワードの抽出を繰り返す（ステップＳ６４０）。

【0183】

ステップＳ６４０で、下位のワードが出尽くした場合に、管理サーバ２０は、直前のステップＳ６２０又はステップＳ６６０で設定した段階が最上位か否か、即ち更に上位のワードが存在するか否かを判定し、最上位でなければ（ステップＳ６５０，Ｎｏ）、一つ上位のワードを求め、一つ上位の段階（抽象化レベル）を設定してステップと１３０に戻る（ステップＳ６６０）。例えば、ステップＳ６２０で設定したワードが「伝票ソフト」であった場合、一つ上位のワード「業務ソフト」を求め、一つ上位の段階として設定する。

【0184】

そして、ステップＳ６３０へ戻り、ステップＳ６３０，Ｓ６４０の処理を行った後、ステップＳ６５０で、直前のステップＳ６２０又はステップＳ６６０で設定した段階が最上位と判定した場合（ステップＳ６５０，Ｙｅｓ）、前記複数の匿名化辞書に含まれる全てのワードの処理が終了したか否かを判定し（ステップＳ６７０）、残りのワードがあれば（ステップＳ６７０，Ｎｏ）、ステップＳ６１０に戻って処理を繰り返し、全てのワードの処理が終了したならば（ステップＳ６７０，Ｙｅｓ）図３９の処理を終了する。

【0185】

（３−２）次元の説明
図４０は、図３９の処理によって作成される各次元の説明図である。図４０の例では、「ＩＴ製品」をルートとする次元について示している。即ち、図４０の次元において、「ＩＴ製品」が最上位の段階のワードである。

【0186】

「ＩＴ製品」は、その一つ下位の段階（図４０の例では段階４）のワードとして「ソフト」「ハード」が対応付けられている。そして、「ソフト」は、その一つ下位の段階（図４０の例では段階３）のワードとして「業務ソフト」「個人ソフト」が対応付けられている。

【0187】

また、「業務ソフト」は、その一つ下位の段階（図４０の例では段階２）のワードとし
て「伝票ソフト」「会計ソフト」「顧客管理ソフト」が対応付けられ、「伝票ソフト」は、その一つ下位の段階（図４０の例では段階１、最下位の段階）のワードとして「ソフトＡ」「ソフトＺ」が対応付けられている。なお、「個人ソフト」は、その一つ下位の段階のワードとして「ソフトＶ」「ソフトＵ」と対応付けられ、「ハード」は、その一つ下位の段階のワードとして「サーバＤ」「サーバＥ」と対応付けられている。

【0188】

このように本実施形態の統合部は、各事業者の匿名化辞書に基づいて図４０に示すような次元を複数作成する。ここで次元は、最上位のワードをルートとし、最下位のワードにかけて樹状に対応付けられた対応関係であり、最上位のワード毎に生成される。即ち統合部は、各事業者の匿名化辞書に含まれる全てのワードをまとめて樹状に対応つけて複数の次元とすることにより匿名化辞書を統合化している。そして、この複数の次元が、統合匿名化辞書である。

【0189】

図４１は複数の次元の説明図である。図４１に示すように、あるワードを抽象化する次元は複数存在し得る。例えば、図４１の次元ａでは、「ソフトウェアＡ」を「会計ソフト」、「業務ソフト」に抽象化し、次元ｃでは、「ソフトウェアＡ」を「ａ社製品」、「パッケージ」に抽象化する。また、次元ｂや次元ｄでもそれぞれ異なるワードに抽象化する。

【0190】

特に本実施形態の統合匿名化辞書は、多数の事業者の匿名化辞書を統合しているので、例えば数十〜数百の次元を含むことになり、全ての次元を用いて抽象化を行うと、データ量が膨大になってしまう。このため、本実施形態では、統合匿名化辞書の各次元について、抽象化に採用する次元の優先度を決定している。

【0191】

（３−３）優先度の説明
次に、図４１〜図４３を用いてステップＳ３０における優先度の決定処理の詳細について説明する。図４２は、図４１に示した次元に含まれる各ワードに重み付けをした例を示す図である。図４２の例では、各次元に含まれるワードの夫々が、当該ワードの段階と対応付けて記憶されると共に、三種類の重み付けが行われる。重み付け１では、重要フラグの有無を付し、重み付け２では、検索回数を付し、重み付け３では、ＳＥＭ（Search Engine Marketing）価格を付している。ここで重要フラグは、ユーザが重要か否かを入力し
た値であり、重要なワード、即ち抽象化に利用したいワードには重要と記録する（重要フラグを立てる）。

【0192】

また、優先度決定部２１３は、図３１に示す優先度ＤＢ２３２からワードの価値を読み出し、図４１に示すように対応するワードに重み付けとして付加する。

【0193】

そして図４１に示した次元のワードの数や、段階の和、各ワードの重み付けを次元毎に集計して、優先度を決定する。

【0194】

図４３は、各ワードの重みを集計して各次元の優先度を求める処理の説明図である。図４３において、次元ａの各ワードについて、ワード数、段階数の和、重み付け１、重み付け２、重み付け３を集計したものが表５１Ａである。同様に次元ｂを集計した表が５１Ｂ、次元ｃを集計した表が５１Ｃである。

【0195】

ワード数は、各次元に含まれるワードの総数であり、図４３の例では、次元ａが２５、次元ｂが５０、次元ｃが９である。このワード数が多いと、抽象化のバリエーションが多く、ｌ−多様性を満たし難くなる、即ち安全性が低くなることが考えられるが、データとしての詳細性は高いため、ワード数が多いものを優先する。

【0196】

段階数の和とは、段階の数に、当該段階に属するワードの数を乗じ、総計を求めたものであり、例えば（段階数５×ワード数１）＋（段階数４×ワード数２）＋（段階数３×ワード数２）＋（段階数２×ワード数３）＋（段階数１×ワード数９）＝３４と求める。この段階数の和が多いと、上位の段階が多く存在し、抽象度の高い選択肢が多く存在することになり、適切な抽象化レベルで抽象化可能で、安全性が高いため、段階数の和が多いものを優先する。

【0197】

同様に、重み付け１〜３についても、重要フラグの数や、検索回数、ＳＥＭ価格の総計を求め、この値の高い、即ち価値の高いものを優先する。

【0198】

そして、これらワード数、段階数の和、重み付け１〜３について、次式に基づいて全体出現率（全体数に対する割合）を求める。

【0199】

全体出現率＝ｔｆ／ｉｄｆ
＝次元ａの値／（次元ａの値＋次元ｂの値＋次元ｃの値＋・・・）
この全体出現率を各次元について比較したものが表５２である。表５２の各次元について、ワード数、段階数の和、重み付け１〜３の全体出現率を合計して全体優先度を定めている。

【0200】

このように各次元について全体優先度を求め、この全体優先度に基づいて選択部２１７が統合匿名化辞書に採用する次元と採用しない次元とを選択する。例えば、選択部２１７が表５２の全体優先度を参照し、全体優先度が高い順に所定数の次元を採用し、これ以外の全体優先度が低い次元は採用しない。

【0201】

なお、選択の基準は、全体優先度の順だけでなく、重要フラグを含む次元は採用し、重要フラグを含まない次元については全体優先度が高い順に所定数の次元を採用するといったように選択条件を設定しても良い。

【0202】

また、選択の対象は、例えば統合匿名化辞書に含まれる全ての次元を選択の対象とし、全体優先度に基づいて所定数の次元を採用しても良いし、同じワードを含む次元毎に選択の対象とし、全体優先度に基づいて所定数の次元を採用しても良い。

【0203】

（３−４）匿名化方法
各匿名化装置１０は、管理サーバ（辞書作成装置）２０から受信した統合匿名化辞書を用いて匿名化を行い、匿名化した匿名情報を管理サーバ２０へ送信する。この統合匿名化辞書を用いたことと、作成した匿名情報を管理サーバ２０へ送信すること以外の匿名化の処理については、前述した実施形態１の図１１の説明と同じである。なお、匿名化装置１０は、ステップＳ１８０で採用する抽象化候補を選択して匿名情報を作成した後、匿名情報を管理サーバ２０へ送信して匿名情報を匿名情報ＤＢ１４５に登録させる（ステップＳ１９０）。
管理サーバ２０は、図１０に示すように、匿名化装置１０から匿名化情報を取得し(ス
テップＳ１)、この匿名情報が公開条件を満たしているか否かを判定し(ステップＳ２)、
公開条件を満たした匿名情報にアクセス権限を設定する(ステップＳ３)。即ち、本実施形態２では、管理サーバ２０が、前述した実施形態１の図２４の説明と同様に公開条件を確認する処理 (ステップＳ２)及び、図２７の説明と同様にアクセス権限を設定する処理 (
ステップＳ３)を行う。

【0204】

なお、ステップＳ１における匿名化情報の取得は、個人情報を有する事業者が匿名化した匿名情報をそれぞれの事業者から匿名化装置１０が受信するものでも良いし、それぞれの事業者から匿名化装置１０が個人情報を受信し、匿名化して取得するものでも良い。

【0205】

§４．匿名情報の具体例
次に図４４，図４５を用いて匿名情報の具体例について説明する。図４４は、Ａ社における匿名化の例を示す図であり、図４４（ａ）は、Ａ社が収集した個人情報、図４４（ｂ）は、図４４（ａ）の個人情報をＡ社独自の匿名化辞書で匿名化した場合の匿名情報の例を示す図、図４４（ｃ）は、図４４（ａ）の個人情報を統合匿名化辞書で匿名化した場合の匿名情報の例を示す図である。

【0206】

Ａ社の匿名化装置１０は、図４４（ａ）の個人情報を独自の匿名化辞書で匿名化した場合、図４４（ｂ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を上場企業又は非上場企業に、役職を管理職や社員、アルバイトに抽象化する。

【0207】

これに対して、Ａ社の匿名化装置１０は、図４４（ａ）の個人情報を統合匿名化辞書で匿名化した場合、図４４（ｃ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を上場企業又は非上場企業、及び所属企業を業種に抽象化する。また、Ａ社の匿名化装置１０は、統合匿名化辞書を用いた場合、役職をマネージャやスタッフに、興味を示した商品を伝票ソフトやサーバに抽象化すると共に、来訪ブースの項目を追加して、Ａ社に来訪した人のデータであることを示す値「Ａ社」を入力する。

【0208】

一方、図４５は、Ｂ社における匿名化の例を示す図であり、図４５（ａ）は、Ｂ社が収集した個人情報、図４５（ｂ）は、図４５（ａ）の個人情報をＢ社独自の匿名化辞書で匿名化した場合の匿名情報の例を示す図、図４５（ｃ）は、図４５（ａ）の個人情報を統合匿名化辞書で匿名化した場合の匿名情報の例を示す図である。

【0209】

Ｂ社の匿名化装置１０は、図４５（ａ）の個人情報を独自の匿名化辞書で匿名化した場合、図４５（ｂ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を業種に、職種を開発や総務に抽象化する。

【0210】

これに対して、Ｂ社の匿名化装置１０は、図４５（ａ）の個人情報を統合匿名化辞書で匿名化した場合、図４５（ｃ）に示すように、氏名とメールアドレスの項目を削除し、年齢を年代に、所属企業を上場企業又は非上場企業、及び所属企業を業種に抽象化する。また、Ｂ社の匿名化装置１０は、統合匿名化辞書を用いた場合、職種を技術職や事務に、興味を示した商品を会計ソフトやサーバに抽象化すると共に、来訪ブースの項目を追加して、Ｂ社に来訪した人のデータであることを示す値「Ｂ社」を入力する。

【0211】

このように各事業者の匿名化装置１０は、統合匿名化辞書に基づいて所属企業の項目を複数の次元で抽象化する。前述のように統合匿名化辞書には優先度の高い次元が採用されているので、この統合匿名化辞書に存在する次元で抽象化することにより、各事業者にとって有用な抽象化を行うことができる。

【0212】

また、前述のように匿名化辞書を統合したことにより、抽象化する際のワードの対応関係が再編され、Ａ社の役職やＢ社の職種のように独自の項目についても共通の次元で抽象化されるので、類似の項目を有する他社のデータと比較することができる。

【0213】

§５．匿名情報の配信
上記のようにアクセス権限を付加した匿名情報に対するアクセス管理について、次に説明する。アクセス管理の手順は、前述した実施形態１の図２８の説明と同様であるため、図２８を用いて説明する。

【0214】

管理サーバ２０は、ユーザ端末３０や各事業者の匿名化装置１０（以下単にユーザ端末
３０と称す）から匿名情報へのアクセス要求を受けた場合に、図２８の処理を開始し、まずユーザの認証を行う（ステップＳ４１０）。ユーザの認証処理は、管理サーバ２０が、ユーザＩＤやパスワード等の認証情報をユーザ端末３０から受信し、この認証情報を登録済の情報と比較して一致していれば認証成功として次のステップＳ４３０へ移行し、一致しなければ認証失敗として図２８の処理を終了する。なお、管理サーバ２０が、ウエブサーバの機能を有し、匿名情報等の情報をウエブページとして提供し、ユーザ端末３０が所謂ウエブブラウザの機能によって管理サーバ２０にアクセスする構成の場合、認証情報はHTTP Cookie等によってユーザ端末３０から管理サーバ２０へ送信されても良い。また、
認証情報は、ユーザの操作によってキーボード等の入力手段から入力され、ユーザ端末３０から管理サーバ２０へ送信されても良い。

【0215】

認証が成功した場合、管理サーバ２０は、ユーザ管理ＤＢ２５１から当該ユーザのユーザ管理情報を取得する（ステップＳ４２０）。このユーザ管理情報は、例えば図９のようにユーザＩＤ、アクセス権限、使用可能辞書等の情報を対応付けてユーザ管理ＤＢ２５１に記録されたものである。ユーザＩＤは、各ユーザを一意に識別するための識別情報である。ユーザのアクセス権限は、当該ユーザの持つ権限、即ち当該ユーザのアクセスが可能な匿名情報の範囲を示す情報である。特に、図９の例では、アクセス権限の範囲（アクセス可能な範囲）をランクで示している。例えば権限の低い（アクセス可能な範囲が狭い）順にランクＡ〜Ｅとした場合、ランクＡはランクＡの匿名情報をアクセス範囲とし、ランクＢはランクＡとランクＢの匿名情報をアクセス範囲とし、ランクＥはランクＡからランクＥの匿名情報をアクセス範囲とする。このように上位の権限の範囲に、下位の権限の範囲が含まれるように設定しても良いし、各権限を独立に設定しても良い。例えば、権限Ａと権限Ｅを有するユーザは、権限Ａ、Ｅの匿名情報のみアクセスでき、権限Ｂ，Ｃ，Ｄにはアクセスできない、というように設定しても良い。

【0216】

そして管理サーバ２０は、当該ユーザの権限内の匿名情報、即ち当該ユーザのアクセス権限でアクセス可能な匿名情報の概要情報を匿名情報ＤＢ１４５から取得する（ステップＳ４３０）。この概要情報の取得は、図３５のように、予め各匿名情報のアクセス管理情報に記録されている概要情報を読み出すものでも良いし、項目名や匿名情報の一部のデータを概要情報として読み出しても良い。

【0217】

管理サーバ２０は、この取得した概要情報をユーザ端末３０に送信し（ステップＳ４４０）、提供する匿名情報の選択を促す（ステップＳ４５０）。例えば管理サーバ２０が、概要情報を一覧表示させるウエブページとしてユーザ端末３０へ提供すると共に、キーワード検索や絞り込みのための入力欄を表示させて匿名情報の選択を促す。

【0218】

そして、ユーザが前記概要情報の一覧の中から匿名情報を選択して、ユーザ端末３０からリクエストし、管理サーバ２０がこのリクエストを受信すると（ステップＳ４６０）、管理サーバ２０は、この匿名情報のアクセス権限とユーザのアクセス権限とを比較して（ステップＳ４７０）、当該ユーザが当該匿名情報にアクセスする権限を有しているか否かを再確認する（ステップＳ４８０）。このときリクエストする匿名情報は、匿名情報の全項目であっても良いし、項目によって指定された範囲であっても良い。例えば、年代、性別、来訪ブース、興味を示した商品のように必要な項目が指定されたリクエストであっても良いし、年代が２０代、性別が男性、興味を示した商品がハード、ステータスが資料請求又は商談のように項目の値が指定されたリクエストであっても良い。

【0219】

この結果、管理サーバ２０は、当該ユーザが当該匿名情報にアクセスする権限を有していないと判定した場合には（ステップＳ４８０，Ｎｏ）、図２８の処理を終了し、当該ユーザが当該匿名情報にアクセスする権限を有していると判定した場合には（ステップＳ４８０、Ｙｅｓ）、利用日時や当該ユーザの情報（ユーザＩＤ等）を履歴情報として記憶装置２４に記憶させる（ステップＳ４９０）。また、管理サーバ２０は、リクエストを受けた匿名情報を匿名情報ＤＢ１４５から取得し（ステップＳ５００）、リクエスト元のユーザ端末３０に送信して表示させる（ステップＳ５１０）。

【0220】

このように本実施形態２によれば、複数の事業者がそれぞれに収集した個人情報を共通の統合匿名化辞書を用いて匿名化を行い、匿名情報を匿名情報ＤＢに登録することで、この匿名情報を一元的に利用することができる。この場合でも本実施形態２の匿名化システムは、アクセス権限に基づいて権限を有するユーザにのみ匿名情報を送信するので、匿名情報に対するアクセス制御を適切に行うことができる。特に、本実施形態２によれば、各事業者の匿名化辞書を統合した統合匿名化辞書を作成した際、当該統合匿名化辞書に係る権限情報を自動で設定でき、複数の事業者がそれぞれに収集した個人情報に基づく匿名情報を共有する場合でも、人手を要することなくアクセス管理を行うことができる。

【0221】

〈その他〉
本発明は、上述の図示例にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。

【符号の説明】

【0222】

１０ 匿名化装置
１２ メモリ
１３ 通信制御部
１４ 記憶装置
１５ 入出力インタフェース
２０ 管理サーバ
２２ メモリ
２３ 通信制御部
２４ 記憶装置
２５ 入出力インタフェース
３０ ユーザ端末
４１ 検定用ＤＢ
６１ ナビゲーションシステム
１００ 匿名化システム
１０１ データ取得部
１０２ 抽象化部
１０３ 検定部
１０４ 選択部
１０５ レベル登録部
１０６ 価値判定部
１０７ 価値データ取得部
１０８ ワードカテゴリ分析部
１０９ ワード価値計算部
１１１ 出現数取得部
１１２ 権限決定部
１２０ 検索エンジン
１３１ 個人情報ＤＢ
１３２ 公開条件ＤＢ
１３３ 検索情報蓄積ＤＢ
１３４ 一時処理ＤＢ
１３５ 権限設定ＤＢ
１４５ 匿名情報ＤＢ
２０１ 要求受付部
２０２ アクセス制御部
２０３ 出力制御部
２５１ ユーザ管理ＤＢ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25A】

【図25B】

【図26】

【図27】

【図28】

【図29】

【図30】

【図31】

【図32】

【図33】

【図34】

【図35】

【図36】

【図37】

【図38】

【図39】

【図40】

【図41】

【図42】

【図43】

【図44】

【図45】