特許 6797963 匿名加工対象特定方法、匿名加工対象特定システム及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6797963

(24)【登録日】2020年11月20日

(45)【発行日】2020年12月9日

(54)【発明の名称】匿名加工対象特定方法、匿名加工対象特定システム及びプログラム

(51)【国際特許分類】

   G06F 16/9035 20190101AFI20201130BHJP

   G06F 16/903 20190101ALI20201130BHJP

【ＦＩ】

   G06F16/9035

   G06F16/903

【請求項の数】7

【全頁数】15

(21)【出願番号】特願2019-66440(P2019-66440)

(22)【出願日】2019年3月29日

(65)【公開番号】特開2020-166556(P2020-166556A)

(43)【公開日】2020年10月8日

【審査請求日】2019年6月3日

(73)【特許権者】

【識別番号】000102728

【氏名又は名称】株式会社エヌ・ティ・ティ・データ

(74)【代理人】

【識別番号】110000752

【氏名又は名称】特許業務法人朝日特許事務所

(72)【発明者】

【氏名】山▲崎▼ 孝博

(72)【発明者】

【氏名】田中 晃平

(72)【発明者】

【氏名】小黒 博昭

【審査官】 松尾 真人

(56)【参考文献】

【文献】 特開２０１０−２１８１３１（ＪＰ，Ａ）

【文献】 特開２０１４−２２９０３９（ＪＰ，Ａ）

【文献】 特開２００６−３０９４０６（ＪＰ，Ａ）

【文献】 特開２０１５−１４３８９４（ＪＰ，Ａ）

【文献】 菊池 浩明，乗降履歴データの安全な匿名化は可能か？，２０１４年 暗号と情報セキュリティシンポジウム ＳＣＩＳ２０１４ ［ＣＤ−ＲＯＭ］ ２０１４年 暗号と情報セキュリティシンポジウム概要集，電子情報通信学会情報セキュリティ研究専門委員会，２０１４年 １月２１日，３Ｄ３−４

【文献】 SWEENEY, Latanya，k-ANONYMITY:A MODEL FOR PROTECTING PRIVACY，International Journal on Uncertainty, Fuzziness and Knowledge-based Systems，２００２年１０月

【文献】 南 和宏，プライバシー保護データパブリッシング，情報処理，一般社団法人情報処理学会，２０１８年 ８月１５日，第５４巻 第９号，ｐｐ．９３８〜９４６

【文献】 大江 和彦，医療情報データベースの基盤整備，情報管理，国立研究開発法人科学技術振興機構，第５９巻 第５号，ｐｐ．２７７〜２８３

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ １６／００−１６／９５８

２１／６０−２１／８８

(57)【特許請求の範囲】

【請求項1】

個人ＩＤを含む属性値の組を各々複数格納する複数の個人情報テーブルを記憶する個人情報記憶部と、
公知情報から抽出される、特定の個人の識別につながる属性値の組を複数格納する公知情報テーブルを記憶する公知情報記憶部と
を備えるシステムにおいて実行される匿名加工対象特定方法であって、
前記公知情報テーブルに含まれる各属性に対して、前記公知情報テーブルに格納されている属性値の数に応じて優先順位を設定する優先順位設定ステップと、
前記複数の個人情報テーブルを参照して、前記公知情報テーブルに格納される属性値の組の各々について、当該属性値の組と対応付けられている個人ＩＤを、匿名加工対象の候補を示す情報として検索する検索ステップと
を有し、
前記検索ステップは、
前記公知情報テーブルに格納されるｎ個の属性値の組を処理対象とする場合に、前記複数の個人情報テーブルの中から、当該ｎ個の属性値の組を構成する一の属性値の属性を含む個人情報テーブルを特定するテーブル特定ステップと、
前記テーブル特定ステップにより特定された個人情報テーブルにおいて、前記一の属性値と対応付けられている個人ＩＤを特定する個人ＩＤ特定ステップと
を有し、
前記テーブル特定ステップは、前記優先順位設定ステップにより設定された優先順位に従った順序で、前記ｎ個の属性値の組を構成する属性値の各々について、当該属性値の属性を含むテーブルを順に特定するステップであって、
前記個人ＩＤ特定ステップは、前記ｎ個の属性値の組を構成する属性値の各々について個人ＩＤを順に特定する際、第２回目以降の特定処理では、前回の特定処理で特定した個人ＩＤであって、かつ処理対象の属性値と対応付けられている個人ＩＤを特定し、第ｎ回目の特定処理では、個人ＩＤを、匿名加工対象の候補を示す情報として特定するステップである
ことを特徴とする匿名加工対象特定方法。

【請求項2】

前記公知情報テーブルに格納される一の属性値の組について前記検索ステップにより検索された個人ＩＤの数と閾値とを比較し、当該個人ＩＤの数が前記閾値以下である場合に、前記複数の個人情報テーブルにおいて当該個人ＩＤを含む属性値の組を、匿名加工対象と判定する判定ステップと、
前記判定ステップにより匿名加工対象と判定された属性値の組に対して匿名加工処理を行う匿名加工処理ステップと
をさらに有することを特徴とする、請求項１に記載の匿名加工対象特定方法。

【請求項3】

前記公知情報テーブルに格納される一の属性値の組について前記検索ステップにより検索された個人ＩＤの数と閾値とを比較し、当該個人ＩＤの数が前記閾値以下である場合に、前記複数の個人情報テーブルにおいて当該個人ＩＤを含む属性値の組を、匿名加工対象と判定する判定ステップと、
前記判定ステップにより匿名加工対象と判定された属性値の組を、匿名加工対象として利用者に通知する通知ステップと
をさらに有することを特徴とする、請求項１に記載の匿名加工対象特定方法。

【請求項4】

前記一の属性値の組を構成する属性値の数又は種類に基づいて前記閾値を設定する閾値設定ステップをさらに有し、
前記判定ステップは、前記個人ＩＤの数と、前記閾値設定ステップにより設定された閾値とを比較するステップである
ことを特徴とする、請求項２又は３に記載の匿名加工対象特定方法。

【請求項5】

前記公知情報記憶部は、複数の公知情報テーブルを記憶し、
前記複数の公知情報テーブルの中から、前記複数の個人情報テーブルが含む属性に基づいて公知情報テーブルを選択するテーブル選択ステップをさらに有し、
前記検索ステップは、前記複数の個人情報テーブルを参照して、前記テーブル選択ステップにより選択された公知情報テーブルに格納される属性値の組の各々について、当該属性値の組と対応付けられている個人ＩＤを、匿名加工対象を示す情報として検索するステップである
ことを特徴とする、請求項１乃至４のいずれか１項に記載の匿名加工対象特定方法。

【請求項6】

個人ＩＤを含む属性値の組を各々複数格納する複数の個人情報テーブルを記憶する個人情報記憶部と、
公知情報から抽出される、特定の個人の識別につながる属性値の組を複数格納する公知情報テーブルを記憶する公知情報記憶部と、
前記公知情報テーブルに含まれる各属性に対して、前記公知情報テーブルに格納されている属性値の数に応じて優先順位を設定する優先順位設定部と、
複数の個人情報テーブルを参照して、前記公知情報テーブルに格納される属性値の組の各々について、当該属性値の組と対応付けられている個人ＩＤを、匿名加工対象を示す情報として検索する検索部と
を備え、
前記検索部は、
前記公知情報テーブルに格納されるｎ個の属性値の組を処理対象とする場合に、前記複数の個人情報テーブルの中から、当該ｎ個の属性値の組を構成する一の属性値の属性を含む個人情報テーブルを特定するテーブル特定部と、
前記テーブル特定部により特定された個人情報テーブルにおいて、前記一の属性値と対応付けられている個人ＩＤを特定する個人ＩＤ特定部と
を備え、
前記テーブル特定部は、前記優先順位設定部により設定された優先順位に従った順序で、前記ｎ個の属性値の組を構成する属性値の各々について、当該属性値の属性を含むテーブルを順に特定し、
前記個人ＩＤ特定部は、前記ｎ個の属性値の組を構成する属性値の各々について個人ＩＤを順に特定する際、第２回目以降の特定処理では、前回の特定処理で特定した個人ＩＤであって、かつ処理対象の属性値と対応付けられている個人ＩＤを特定し、第ｎ回目の特定処理では、個人ＩＤを、匿名加工対象の候補を示す情報として特定する
ことを特徴とする匿名加工対象特定システム。

【請求項7】

個人ＩＤを含む属性値の組を各々複数格納する複数の個人情報テーブルを記憶する個人情報記憶部と、
公知情報から抽出される、特定の個人の識別につながる属性値の組を複数格納する公知情報テーブルを記憶する公知情報記憶部と
を備えるコンピュータに、
前記公知情報テーブルに含まれる各属性に対して、前記公知情報テーブルに格納されている属性値の数に応じて優先順位を設定する優先順位設定ステップと、
複数の個人情報テーブルを参照して、前記公知情報テーブルに格納される属性値の組の各々について、当該属性値の組と対応付けられている個人ＩＤを、匿名加工対象を示す情報として検索する検索ステップと
を実行させるためのプログラムであって、
前記検索ステップは、
前記公知情報テーブルに格納されるｎ個の属性値の組を処理対象とする場合に、前記複数の個人情報テーブルの中から、当該ｎ個の属性値の組を構成する一の属性値の属性を含む個人情報テーブルを特定するテーブル特定ステップと、
前記テーブル特定ステップにより特定された個人情報テーブルにおいて、前記一の属性値と対応付けられている個人ＩＤを特定する個人ＩＤ特定ステップと
を有し、
前記テーブル特定ステップは、前記優先順位設定ステップにより設定された優先順位に従った順序で、前記ｎ個の属性値の組を構成する属性値の各々について、当該属性値の属性を含むテーブルを順に特定するステップであって、
前記個人ＩＤ特定ステップは、前記ｎ個の属性値の組を構成する属性値の各々について個人ＩＤを順に特定する際、第２回目以降の特定処理では、前回の特定処理で特定した個人ＩＤであって、かつ処理対象の属性値と対応付けられている個人ＩＤを特定し、第ｎ回目の特定処理では、個人ＩＤを、匿名加工対象の候補を示す情報として特定するステップである
ことを特徴とするプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、個人情報の匿名加工に関する。

【背景技術】

【0002】

従来、改正個人情報保護法の施行に伴い、個人情報の匿名加工に関する様々な技術が開発されている。例えば、特許文献１には、ユーザのプライバシー情報をｋ−匿名性を満たすように加工するプライバシー情報評価サーバが記載されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１１−１８０８３９公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

本発明は、このような技術を背景になされたものであり、個人情報が複数のテーブルにまたがって格納されている場合に、当該複数のテーブルを参照して匿名加工対象の候補とすべき個人情報を検索することを目的とする。

【課題を解決するための手段】

【0005】

上記の課題を解決するため、本発明は、個人ＩＤを含む属性値の組を各々複数格納する複数の個人情報テーブルを記憶する個人情報記憶部と、公知情報から抽出される、特定の個人の識別につながる属性値の組を複数格納する公知情報テーブルを記憶する公知情報記憶部とを備えるシステムにおいて実行される匿名加工対象特定方法であって、前記複数の個人情報テーブルを参照して、前記公知情報テーブルに格納される属性値の組の各々について、当該属性値の組と対応付けられている個人ＩＤを、匿名加工対象の候補を示す情報として検索する検索ステップを有し、前記検索ステップは、前記公知情報テーブルに格納されるｎ個の属性値の組を処理対象とする場合に、前記複数の個人情報テーブルの中から、当該ｎ個の属性値の組を構成する一の属性値の属性を含む個人情報テーブルを特定するテーブル特定ステップと、前記テーブル特定ステップにより特定された個人情報テーブルにおいて、前記一の属性値と対応付けられている個人ＩＤを特定する個人ＩＤ特定ステップとを有し、前記テーブル特定ステップは、前記ｎ個の属性値の組を構成する属性値の各々について、当該属性値の属性を含むテーブルを順に特定するステップであって、前記個人ＩＤ特定ステップは、前記ｎ個の属性値の組を構成する属性値の各々について個人ＩＤを順に特定する際、第２回目以降の特定処理では、前回の特定処理で特定した個人ＩＤであって、かつ処理対象の属性値と対応付けられている個人ＩＤを特定し、第ｎ回目の特定処理では、個人ＩＤを、匿名加工対象の候補を示す情報として特定するステップであることを特徴とする匿名加工対象特定方法を提供する。

【0006】

好ましい態様において、前記匿名加工対象特定方法は、前記公知情報テーブルに格納される一の属性値の組について前記検索ステップにより検索された個人ＩＤの数と閾値とを比較し、当該個人ＩＤの数が前記閾値以下である場合に、前記複数の個人情報テーブルにおいて当該個人ＩＤを含む属性値の組を、匿名加工対象と判定する判定ステップと、前記判定ステップにより匿名加工対象と判定された属性値の組に対して匿名加工処理を行う匿名加工処理ステップとをさらに有する。

【0007】

別の好ましい態様において、前記匿名加工対象特定方法は、前記公知情報テーブルに格納される一の属性値の組について前記検索ステップにより検索された個人ＩＤの数と閾値とを比較し、当該個人ＩＤの数が前記閾値以下である場合に、前記複数の個人情報テーブルにおいて当該個人ＩＤを含む属性値の組を、匿名加工対象と判定する判定ステップと、前記判定ステップにより匿名加工対象と判定された属性値の組を、匿名加工対象として利用者に通知する通知ステップとをさらに有する。

【0008】

さらに好ましい態様において、前記匿名加工対象特定方法は、前記一の属性値の組を構成する属性値の数又は種類に基づいて前記閾値を設定する閾値設定ステップをさらに有し、前記判定ステップは、前記個人ＩＤの数と、前記閾値設定ステップにより設定された閾値とを比較するステップである。

【0009】

さらに好ましい態様において、前記匿名加工対象特定方法は、前記公知情報テーブルに含まれる各属性に対して、前記公知情報テーブルに格納されている属性値の数に応じて優先順位を設定する優先順位設定ステップをさらに有し、前記テーブル特定ステップは、前記優先順位設定ステップにより設定された優先順位に従った順序で、前記ｎ個の属性値の組を構成する属性値の各々についてテーブルを特定するステップである。

【0010】

さらに好ましい態様において、前記公知情報記憶部は、複数の公知情報テーブルを記憶し、前記匿名加工対象特定方法は、前記複数の公知情報テーブルの中から、前記複数の個人情報テーブルが含む属性に基づいて公知情報テーブルを選択するテーブル選択ステップをさらに有し、前記検索ステップは、前記複数の個人情報テーブルを参照して、前記テーブル選択ステップにより選択された公知情報テーブルに格納される属性値の組の各々について、当該属性値の組と対応付けられている個人ＩＤを、匿名加工対象を示す情報として検索するステップである。

【0011】

また、本発明は、個人ＩＤを含む属性値の組を各々複数格納する複数の個人情報テーブルを記憶する個人情報記憶部と、公知情報から抽出される、特定の個人の識別につながる属性値の組を複数格納する公知情報テーブルを記憶する公知情報記憶部と、複数の個人情報テーブルを参照して、前記公知情報テーブルに格納される属性値の組の各々について、当該属性値の組と対応付けられている個人ＩＤを、匿名加工対象を示す情報として検索する検索部とを備え、前記検索部は、前記公知情報テーブルに格納されるｎ個の属性値の組を処理対象とする場合に、前記複数の個人情報テーブルの中から、当該ｎ個の属性値の組を構成する一の属性値の属性を含む個人情報テーブルを特定するテーブル特定部と、前記テーブル特定部により特定された個人情報テーブルにおいて、前記一の属性値と対応付けられている個人ＩＤを特定する個人ＩＤ特定部とを備え、前記テーブル特定部は、前記ｎ個の属性値の組を構成する属性値の各々について、当該属性値の属性を含むテーブルを順に特定し、前記個人ＩＤ特定部は、前記ｎ個の属性値の組を構成する属性値の各々について個人ＩＤを順に特定する際、第２回目以降の特定処理では、前回の特定処理で特定した個人ＩＤであって、かつ処理対象の属性値と対応付けられている個人ＩＤを特定し、第ｎ回目の特定処理では、個人ＩＤを、匿名加工対象の候補を示す情報として特定することを特徴とする匿名加工対象特定システムを提供する。

【0012】

また、本発明は、個人ＩＤを含む属性値の組を各々複数格納する複数の個人情報テーブルを記憶する個人情報記憶部と、公知情報から抽出される、特定の個人の識別につながる属性値の組を複数格納する公知情報テーブルを記憶する公知情報記憶部とを備えるコンピュータに、複数の個人情報テーブルを参照して、前記公知情報テーブルに格納される属性値の組の各々について、当該属性値の組と対応付けられている個人ＩＤを、匿名加工対象を示す情報として検索する検索ステップを実行させるためのプログラムであって、前記検索ステップは、前記公知情報テーブルに格納されるｎ個の属性値の組を処理対象とする場合に、前記複数の個人情報テーブルの中から、当該ｎ個の属性値の組を構成する一の属性値の属性を含む個人情報テーブルを特定するテーブル特定ステップと、前記テーブル特定ステップにより特定された個人情報テーブルにおいて、前記一の属性値と対応付けられている個人ＩＤを特定する個人ＩＤ特定ステップとを有し、前記テーブル特定ステップは、前記ｎ個の属性値の組を構成する属性値の各々について、当該属性値の属性を含むテーブルを順に特定するステップであって、前記個人ＩＤ特定ステップは、前記ｎ個の属性値の組を構成する属性値の各々について個人ＩＤを順に特定する際、第２回目以降の特定処理では、前回の特定処理で特定した個人ＩＤであって、かつ処理対象の属性値と対応付けられている個人ＩＤを特定し、第ｎ回目の特定処理では、個人ＩＤを、匿名加工対象の候補を示す情報として特定するステップであることを特徴とするプログラムを提供する。

【発明の効果】

【0013】

本発明によれば、個人情報が複数のテーブルにまたがって格納されている場合に、当該複数のテーブルを参照して匿名加工対象の候補とすべき個人情報を検索することができる。

【図面の簡単な説明】

【0014】

【図1】匿名加工処理システム１の機能構成の一例を示すブロック図

【図2】患者情報テーブルＴ１の一例を示す図

【図3】疾患情報テーブルＴ２の一例を示す図

【図4】処方情報テーブルＴ３の一例を示す図

【図5】入退院履歴情報テーブルＴ４の一例を示す図

【図6】記事テーブルＴ５の一例を示す図

【図7】匿名加工処理の一例を示すフロー図

【図8】匿名加工処理の具体的な動作例の説明図

【図9】匿名加工処理の具体的な動作例の説明図

【図10】匿名加工処理の具体的な動作例の説明図

【発明を実施するための形態】

【0015】

１．実施形態
本発明の一実施形態に係る匿名加工処理システム１について、図面を参照して説明する。
本匿名加工処理システム１は、データ活用者に提供される個人情報（特に、医療情報）に対して匿名加工を施すためのシステムである。本システムでは個人情報に対して匿名加工を施すにあたり、ニュース記事等の公知情報に基づいて、特定の個人の識別につながる個人情報のみを抽出し、抽出した個人情報に対してのみ匿名加工を施す。そのため、特定の個人の識別にはつながらない個人情報については、その有用性を維持することができる。

【0016】

１−１．構成
図１は、この匿名加工処理システム１の機能構成の一例を示すブロック図である。同図に示す匿名加工処理システム１は、１以上のサーバにより構成され、その機能として、提供データ記憶部２、公知情報記憶部３、検索部４、判定部５及び匿名加工処理部６を有する。これらの機能のうち、提供データ記憶部２及び公知情報記憶部３は、ＨＤＤ等の記憶装置により実現される。一方、検索部４、判定部５及び匿名加工処理部６は、記憶装置に記憶されるプログラムをプロセッサが実行することにより実現される。なお、このプログラムは、インターネット等のネットワークや非一時的な記録媒体を介して頒布可能なプログラムである。以下、各機能について説明する。

【0017】

提供データ記憶部２は、データ活用者に提供されるデータベースであって、匿名加工の対象となる提供データＤＢ２１を記憶する。この提供データ記憶部２に記憶される提供データＤＢ２１は、それぞれ複数の属性値の組を複数格納する５個の個人情報テーブルにより構成される。具体的には、患者情報テーブルＴ１、疾患情報テーブルＴ２、処方情報テーブルＴ３及び入退院履歴情報テーブルＴ４（以下、総称して「医療情報テーブルＴ」と呼ぶ。）により構成される。以下、各テーブルについて説明する。

【0018】

図２は、患者情報テーブルＴ１の一例を示す図である。同図に示す患者情報テーブルＴ１は、３個の属性、すなわち患者ＩＤ、生年月日及び性別の各々について属性値を格納する。これら３個の属性には、Ａ１、Ａ３、Ａ４のＩＤが付される。ここでＩＤとしてＡ２が欠落している理由は、Ａ２を付すべき属性である施設コードが患者情報テーブルＴ１から予め削除されているからである。これら３個の属性のうち、患者ＩＤは患者情報テーブルＴ１おいては主キーである。しかし、以下に説明する他のテーブルにおいては患者ＩＤは主キーではないため、テーブルの複数行にわたって同じ患者ＩＤが登場し得る。

【0019】

図３は、疾患情報テーブルＴ２の一例を示す図である。同図に示す疾患情報テーブルＴ２は、患者ＩＤ、診療科分類、主疾患フラグ、疑いフラグ、疾患、疾患開始日、疾患終了日等の属性の各々について属性値を格納する。これらの属性のうち、診療科分類、主疾患フラグ、疑いフラグ、疾患、疾患開始日及び疾患終了日には、Ａ５〜Ａ１０のＩＤが付される。

【0020】

図４は、処方情報テーブルＴ３の一例を示す図である。同図に示す処方情報テーブルＴ３は、患者ＩＤ、診療科分類、入外区分、処方年月日、薬剤、投与量、処方回数、院内外区分等の属性の各々について属性値を格納する。これらの属性のうち、入外区分、処方年月日、薬剤、投与量、処方回数及び院内外区分には、Ａ１１〜Ａ１６のＩＤが付される。

【0021】

図５は、入退院履歴情報テーブルＴ４の一例を示す図である。同図に示す入退院履歴情報テーブルＴ４は、患者ＩＤ、診療科分類、入院年月日、退院年月日等の属性の各々について属性値を格納する。これらの属性のうち、入院年月日と退院年月日には、Ａ２１〜Ａ２２のＩＤが付される。
以上が、提供データ記憶部２についての説明である。

【0022】

次に、公知情報記憶部３は、提供データＤＢ２１と突合されるデータベースである公知情報ＤＢ３１を記憶する。この公知情報記憶部３に記憶される公知情報ＤＢ３１は、特定の個人の識別につながる属性値の組を複数格納する公知情報テーブルにより構成される。具体的には、図６に例示する記事テーブルＴ５により構成される。同図に示す記事テーブルＴ５は、２個の属性、すなわち記事ＩＤ及び記事原文と、属性Ａ１〜Ａ１６、Ａ２１〜Ａ２２を含む他の属性（以下、総称して「属性Ａ」と呼ぶ。）の各々について属性値を格納する。この記事テーブルＴ５を構成する各レコードは、運用者が、学術論文、学会誌、ニュース記事、医療事故について単に公表するだけの情報等の公知情報を収取、解析して入力する。公知情報としては、入手が容易であり、かつ情報のマッチングがしやすいものが好ましい。

【0023】

次に、検索部４は、記事テーブルＴ５に格納される記事の各々について、当該記事の属性Ａの属性値を検索条件として提供データＤＢ２１内を検索し、その属性値と対応付けられている患者ＩＤを、匿名加工対象の候補を示す情報として検索する。例えば、処理対象の記事のレコードが、属性Ａ４「男」、属性Ａ８「脳梗塞」、属性Ａ１１「入院」、属性Ａ１３「薬剤Ｂ200mg」及び属性Ａ２１「2018年11月22日」を格納している場合には、これらの属性値を検索条件として提供データＤＢ２１内を検索し、これら全てと対応付けられている患者ＩＤを検索する。このような検索を行うために検索部４は、テーブル特定部４１とＩＤ特定部４２を有する。

【0024】

テーブル特定部４１は、処理対象の記事の属性値について、その属性値の属性Ａを含む医療情報テーブルＴを提供データＤＢ２１において特定する。例えば、処理対象の属性値が属性Ａ４「男」である場合には、この属性値の属性Ａ４を含む患者情報テーブルＴ１を提供データＤＢ２１において特定する。このテーブル特定部４１は、処理対象の記事の属性値がｎ（２以上の整数）個である場合には、そのｎ個の属性値の各々について医療情報テーブルＴを順に特定する。

【0025】

ＩＤ特定部４２は、処理対象の記事の属性値について医療情報テーブルＴがテーブル特定部４１により特定されると、その属性値を検索条件として、その特定された医療情報テーブルＴ内を検索し、その属性値と対応付けられている患者ＩＤを特定する。例えば、属性Ａ４「男」についてテーブル特定部４１により患者情報テーブルＴ１が特定された場合には、属性Ａ４「男」を検索条件として、その特定された患者情報テーブルＴ１内を検索し、属性Ａ４「男」と対応付けられている患者ＩＤを特定する。このＩＤ特定部４２は、処理対象の記事の属性値がｎ（２以上の整数）個である場合には、そのｎ個の属性値の各々について患者ＩＤを順に特定する。その際、第２回目以降の特定処理では、前回の特定処理で特定した患者ＩＤを追加条件として設定することで、前回の特定処理で特定した患者ＩＤの中で、処理対象の属性値と対応付けられている患者ＩＤを特定する。そして、第ｎ回目の特定処理では、個人ＩＤを、匿名加工対象の候補を示す情報として特定する。
以上が、検索部４についての説明である。

【0026】

次に、判定部５は、処理対象の記事について検索部４により患者ＩＤが検索されると、検索された患者ＩＤの数と閾値とを比較する。ここで患者ＩＤと比較される閾値は「１」である。そして、その比較の結果、前者が後者以下である場合には（すなわち、検索された患者ＩＤの数が「１」である場合には）、その患者ＩＤと提供データＤＢ２１において対応付けられている属性値の組を、匿名加工対象と判定する。これは、患者ＩＤが１つしか存在しないということは、その患者ＩＤにより識別される患者が、その患者ＩＤと対応付けられる属性値の組に基づいて識別される恐れがあるからである。

【0027】

匿名加工処理部６は、判定部５により匿名加工対象と判定された属性値の組に対して匿名加工処理を行う。具体的には、匿名加工対象と判定された属性値の組を提供データＤＢ２１から削除する（レコード削除）。
以上が、匿名加工処理システム１の構成についての説明である。

【0028】

１−２．動作
次に、以上説明した匿名加工処理システム１により実行される匿名加工処理について、図７に例示するフロー図を参照して説明する。同図に示す匿名加工処理は、公知情報ＤＢ３１に格納される記事ごとに実行される。

【0029】

匿名加工処理システム１の検索部４は、処理対象の記事の属性値の組を分解し（ステップＳ１）、分解した属性値の各々について患者ＩＤ検索ループＬを実行する。この患者ＩＤ検索ループＬにおいて検索部４は、処理対象の属性値について、当該記事の属性Ａの属性値を検索条件として提供データＤＢ２１内を検索し、当該属性値と対応付けられている患者ＩＤを検索する（ステップＳ２）。具体的には、テーブル特定部４１が、処理対象の属性値の属性Ａを含む医療情報テーブルＴを提供データＤＢ２１において特定し、ＩＤ特定部４２が、特定された医療情報テーブルＴ内を、処理対象の属性値を検索条件として検索し、その属性値と対応付けられている患者ＩＤを特定する。この検索の結果、検索された患者ＩＤの数が「０」である場合には（ステップＳ３のＹＥＳ）、この患者ＩＤ検索ループＬを抜けて、本匿名加工処理は終了する。一方、上記の検索の結果、検索された患者ＩＤの数が「０」以外である場合には（ステップＳ３のＮＯ）、検索部４は、検索した患者ＩＤを、次回の検索の際の追加条件として設定する（ステップＳ４）。そして、検索部４は、処理対象の記事のすべての属性値について患者ＩＤの検索を実行した場合には、患者ＩＤ検索ループＬを終了する。一方、すべての属性値について患者ＩＤの検索を実行していない場合には、ステップＳ２に戻り、次の属性値について患者ＩＤを検索する。その際、ＩＤ特定部４２は、テーブル特定部４１により特定された医療情報テーブルＴ内を、処理対象の属性値に加えて、前回の検索処理で特定した患者ＩＤを検索条件として検索し、その属性値と対応付けられている患者ＩＤを特定する。

【0030】

患者ＩＤ検索ループＬの結果、検索部４により患者ＩＤが検索されると、判定部５は、検索された患者ＩＤの数と閾値とを比較する（ステップＳ５）。この比較の結果、前者が後者以下である場合には（すなわち、検索された患者ＩＤの数が「１」である場合には）（ステップＳ５のＹＥＳ）、その患者ＩＤと提供データＤＢ２１において対応付けられている属性値の組を、匿名加工対象と判定し、匿名加工処理部６は、その属性値の組に対して匿名加工処理を行う（ステップＳ６）。匿名加工処理部６は、具体的には、その属性値の組を提供データＤＢ２１から削除する。一方、上記の比較の結果、前者が後者より大きい場合には（すなわち、検索された患者ＩＤの数が「１」でない場合には）（ステップＳ５のＮＯ）、本匿名加工処理は終了する。
以上が、匿名加工処理についての説明である。

【0031】

次に、以上説明した匿名加工処理の具体的な動作例について、図８〜図１０に例示する説明図を参照して説明する。以下に説明する動作例では、処理対象の記事として、属性Ａ４「男」、属性Ａ８「脳梗塞」、属性Ａ１１「入院」、属性Ａ１３「薬剤Ｂ200mg」及び属性Ａ２１「2018年11月22日」をレコードに格納する記事を想定する。

【0032】

匿名加工処理システム１の検索部４は、処理対象の記事の上記の属性値の組を分解し（ステップＳ１）、分解した属性値の各々について患者ＩＤ検索ループＬを実行する。検索部４は、これらの分解した属性値のうち、まず属性Ａ４「男」について患者ＩＤの検索を行う（ステップＳ２）。その際、テーブル特定部４１は、属性Ａ４「男」の属性Ａ４を含む患者情報テーブルＴ１を特定する。そして、ＩＤ特定部４２は、特定された患者情報テーブルＴ１内を、属性Ａ４「男」を検索条件として検索し、その属性値と対応付けられている属性Ａ１「１」及び「３」を特定する。この検索の結果、２個の患者ＩＤが検索されたため（ステップＳ３のＮＯ）、検索部４は、検索した属性Ａ１「１」及び「３」を、次回の検索の際の追加条件として設定する（ステップＳ４）。

【0033】

次に、検索部４は、属性Ａ８「脳梗塞」について患者ＩＤの検索を行う（ステップＳ２）。その際、テーブル特定部４１は、属性Ａ８「脳梗塞」の属性Ａ８を含む疾患情報テーブルＴ２を特定する。そして、ＩＤ特定部４２は、特定された疾患情報テーブルＴ２内を、属性Ａ８「脳梗塞」に加えて、前回の検索処理で特定した属性Ａ１「１」及び「３」を検索条件（Ａ８「脳梗塞」AND（属性Ａ１「１」OR属性Ａ１「３」））として検索し、その属性値と対応付けられている属性Ａ１「１」及び「３」を特定する。この検索の結果、２個の患者ＩＤが検索されたため（ステップＳ３のＮＯ）、検索部４は、検索した属性Ａ１「１」及び「３」を、次回の検索の際の追加条件として設定する（ステップＳ４）。

【0034】

次に、検索部４は、属性Ａ１１「入院」について患者ＩＤの検索を行う（ステップＳ２）。その際、テーブル特定部４１は、属性Ａ１１「入院」の属性Ａ１１を含む処方情報テーブルＴ３を特定する。そして、ＩＤ特定部４２は、特定された処方情報テーブルＴ３内を、属性Ａ１１「入院」に加えて、前回の検索処理で特定した属性Ａ１「１」及び「３」を検索条件（Ａ１１「入院」AND（属性Ａ１「１」OR属性Ａ１「３」））として検索し、その属性値と対応付けられている属性Ａ１「１」及び「３」を特定する。この検索の結果、２個の患者ＩＤが検索されたため（ステップＳ３のＮＯ）、検索部４は、検索した属性Ａ１「１」及び「３」を、次回の検索の際の追加条件として設定する（ステップＳ４）。

【0035】

次に、検索部４は、属性Ａ１３「薬剤Ｂ200mg」について患者ＩＤの検索を行う（ステップＳ２）。その際、テーブル特定部４１は、属性Ａ１３「薬剤Ｂ200mg」の属性Ａ１３を含む処方情報テーブルＴ３を特定する。そして、ＩＤ特定部４２は、特定された処方情報テーブルＴ３内を、属性Ａ１３「薬剤Ｂ200mg」に加えて、前回の検索処理で特定した属性Ａ１「１」及び「３」を検索条件（Ａ１３「薬剤Ｂ200mg」AND（属性Ａ１「１」OR属性Ａ１「３」））として検索し、その属性値と対応付けられている属性Ａ１「１」を特定する。この検索の結果、１個の患者ＩＤが検索されたため（ステップＳ３のＮＯ）、検索部４は、検索した属性Ａ１「１」を、次回の検索の際の追加条件として設定する（ステップＳ４）。

【0036】

次に、検索部４は、最後の属性Ａ２１「2018年11月22日」について患者ＩＤの検索を行う（ステップＳ２）。その際、テーブル特定部４１は、属性Ａ２１「2018年11月22日」の属性Ａ２１を含む入退院履歴情報テーブルＴ４を特定する。そして、ＩＤ特定部４２は、特定された入退院履歴情報テーブルＴ４内を、属性Ａ２１「2018年11月22日」に加えて、前回の検索処理で特定した属性Ａ１「１」を検索条件（Ａ２１「2018年11月22日」AND属性Ａ１「１」）として検索し、その属性値と対応付けられている属性Ａ１「１」を特定する。この検索の結果、１個の患者ＩＤが検索されたため（ステップＳ３のＮＯ）、検索部４は、検索した属性Ａ１「１」を、次回の検索の際の追加条件として設定する（ステップＳ４）。
上記の患者ＩＤ検索ループＬの結果、属性Ａ１「１」が検索される。

【0037】

検索された患者ＩＤは１つだけであるため（ステップＳ５のＹＥＳ）、匿名加工処理部６は、検索された属性Ａ１「１」と提供データＤＢ２１において対応付けられている属性値の組に対して匿名加工処理を行う（ステップＳ６）。具体的には、その属性値の組を提供データＤＢ２１から削除する。
以上が、匿名加工処理の動作例についての説明である。

【0038】

なお、上記の動作例では、1つの属性値に対して1つの医療情報テーブルＴのみが特定されているが、属性値によっては複数の医療情報テーブルＴが特定される場合がある。例えば、属性Ａ５は疾患情報テーブルＴ２、処方情報テーブルＴ３及び入退院履歴情報テーブルＴ４の３個の医療情報テーブルＴに含まれるため、この属性Ａ５の属性値について患者ＩＤが検索される場合には、これら３個の医療情報テーブルＴの各々において患者ＩＤの検索が行われることになる。

【0039】

以上説明した匿名加工処理システム１によれば、データ活用者に提供される医療情報が複数のテーブルにまたがって格納されており、それらのテーブルが単純に結合できない場合であっても、当該複数のテーブルから特定の個人の識別につながる医療情報を抽出して、抽出した医療情報に対して匿名加工を行うことができる。

【0040】

２．変形例
上記の実施形態は下記のように変形してもよい。なお、下記の変形例は互いに組み合わせてもよい。

【0041】

２−１．変形例１
提供データＤＢ２１と記事テーブルＴ５の属性Ａの数及び種類は、あくまで一例である。属性Ａの数及び種類は、図２〜図６に図示した例に限られない。

【0042】

２−２．変形例２
記事テーブルＴ５の各レコードは、固有表現抽出を用いて公知情報に基づいて自動的に生成するようにしてもよい。

【0043】

２−３．変形例３
匿名加工処理部６は、上記のレコード削除に代えてセル削除を行ってもよい。具体的には、判定部５により匿名加工対象と判定された属性値の組のうち、処理対象となった記事の属性値のいずれかと属性Ａを同じくする属性値を提供データＤＢから削除するようにしてもよい。その際、処理対象となった記事の属性値のうち、記事テーブルＴ５において属性値の出現頻度が最も高い属性Ａを特定して、特定した属性Ａの属性値を提供データＤＢから削除するようにしてもよい。

【0044】

また、別の匿名加工処理として、一般化やトップ（ボトム）コーディングや項目削除を行ってもよい。具体的には、提供データＤＢ２１において、処理対象となった記事の属性値のいずれかの属性Ａの全ての属性値を一般化したり、トップ（ボトム）コーディングしたり、削除したりするようにしてもよい。その際も、処理対象となった記事の属性値のうち、記事テーブルＴ５において属性値の出現頻度が最も高い属性Ａの全ての属性値に対して一般化等を行ってもよい。

【0045】

２−４．変形例４
テーブル特定部４１は、処理対象の記事の属性値の各々について医療情報テーブルＴを特定する際、それらの属性値の属性に設定された優先順位に従った順序で医療情報テーブルＴを特定するようにしてもよい。例えば、処理対象の記事の属性値が、属性Ａ４「男」、属性Ａ８「脳梗塞」、属性Ａ１１「入院」、属性Ａ１３「薬剤Ｂ200mg」及び属性Ａ２１「2018年11月22日」であり、これらの属性値が属性の優先順位の降順に並べられていると仮定すると、テーブル特定部４１は属性Ａ４「男」から順に医療情報テーブルＴを特定してゆく。

【0046】

ここで、各属性に設定される優先順位は、記事テーブルＴ５における属性値の出現頻度に基づいて設定される。具体的には、記事テーブルＴ５において属性値の出現頻度が高い属性ほど高くなるように優先順位は設定される。また別の例として、各属性に対して優先順位が予め定められていてもよい。

【0047】

２−５．変形例５
判定部５により参照される閾値は必ずしも「１」でなくてもよい。例えば、「２」又は「３」であってもよい。
また、判定部５により参照される閾値は、処理対象の記事の属性値の数又は種類に基づいて設定されてもよい。具体的には、属性値の数に比例して閾値を増加させてもよい。または、属性値と属性Ａを同じくする属性値の記事テーブルＴ５における出現頻度に比例して閾値を増加させてもよい。その際、属性値が複数存在する場合には、その中で最も高い出現頻度に比例して閾値を増加させてもよい。

【0048】

２−６．変形例６
匿名加工処理部６による匿名加工処理を省略し、判定部５により匿名加工対象と判定された属性値の組を匿名加工対象として運用者に通知するようにしてもよい。具体的には、匿名加工対象の属性値の組をディスプレイに表示するようにしてもよい。この匿名加工対象の通知を受けた運用者は、自らの手で匿名加工処理を行う。

【0049】

または、判定部５による判定処理を省略し、検索部４により検索された患者ＩＤを匿名加工対象の候補を示す情報として運用者に通知するようにしてもよい。具体的には、検索された患者ＩＤを匿名加工対象の候補としてディスプレイに表示するようにしてもよい。この匿名加工対象の通知を受けた運用者は、自ら匿名加工処理の要否を判定し、必要であれば自らの手で匿名加工処理を行う。

【0050】

２−７．変形例７
公知情報ＤＢ３１の属性Ａの中には、属性値が全く存在しないものもあり得る。そのような属性Ａが存在する場合には、処理コストを削減するために、提供データＤＢ２１において当該属性Ａを削除した中間データベースを作成し、作成した中間データベースと公知情報ＤＢ３１を突合することで匿名加工処理を行うようにしてもよい。

【0051】

２−８．変形例８
匿名加工処理システム１は、医療情報を匿名加工処理の対象としているが、当該処理の対象となる個人情報はこれに限られない。例えば、家庭の電力使用量に係るデータや、クレジットカードの利用に伴って蓄積される購買データや、鉄道の乗降データ等の個人情報を匿名加工処理の対象としてもよい。

【0052】

２−９．変形例９
匿名加工処理システム１は、変形例８で例示したような様々な個人情報に対する匿名加工処理を可能にするために、それぞれ異なる分野の公知情報に基づいて作成される複数の記事テーブルを記憶しておき、処理対象の個人情報テーブルに応じて、突合させる記事テーブルを選択するようにしてもよい。突合させる記事テーブルを選択するにあたっては、処理対象の個人情報テーブルの属性を参考にしてもよい。例えば、属性名と記事テーブルＩＤを対応付ける変換テーブルを参照して、突合させる記事テーブルを選択するようにしてもよい。

【0053】

２−１０．変形例１０
上記の匿名加工処理のステップＳ１において、検索部４は処理対象の記事の属性値のうち、動的属性の属性値を処理対象から除外するようにしてもよい。ここで動的属性とは、検査値や食事に関する情報等の常に変化する属性である。

【符号の説明】

【0054】

１…匿名加工処理システム、２…提供データ記憶部、３…公知情報記憶部、４…検索部、５…判定部、６…匿名加工処理部、２１…提供データＤＢ、３１…公知情報ＤＢ、４１…テーブル特定部、４２…ＩＤ特定部、Ｔ１…患者情報テーブル、Ｔ２…疾患情報テーブル、Ｔ３…処方情報テーブル、Ｔ４…入退院履歴情報テーブル、Ｔ５…記事テーブル

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】