知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023141486
(43)【公開日】2023-10-05
(54)【発明の名称】制御方法、制御プログラム、及び、情報処理装置
(51)【国際特許分類】
G06F 21/62 20130101AFI20230928BHJP
【ＦＩ】
G06F21/62 354
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2022047831
(22)【出願日】2022-03-24
(71)【出願人】
【識別番号】000005223
【氏名又は名称】富士通株式会社
(74)【代理人】
【識別番号】100092978
【弁理士】
【氏名又は名称】真田 有
(74)【代理人】
【識別番号】100189201
【弁理士】
【氏名又は名称】横田 功
(72)【発明者】
【氏名】佐々木 佑樹
(57)【要約】
【課題】データ提供者が望まない条件で個人データが利用されることを抑制する。
【解決手段】コンピュータは、第１の個人データと個人識別性に関する条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記条件を満たすか否かを判定し、前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、処理を実行する。
【選択図】図１０
【解決手段】コンピュータは、第１の個人データと個人識別性に関する条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記条件を満たすか否かを判定し、前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、処理を実行する。
【選択図】図１０
【特許請求の範囲】
【請求項1】
第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定し、
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
処理をコンピュータが実行する、制御方法。
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
処理をコンピュータが実行する、制御方法。
【請求項2】
前記第１条件は、同一の個人データの数に関する条件であり、
前記制御及び前記通知の少なくとも一方を行なう処理は、前記複数の個人データのうちの、前記第１の個人データと同一である個人データの数が、前記第１条件を満たす場合に、前記制御を行なう処理を含む、
請求項１に記載の制御方法。
前記制御及び前記通知の少なくとも一方を行なう処理は、前記複数の個人データのうちの、前記第１の個人データと同一である個人データの数が、前記第１条件を満たす場合に、前記制御を行なう処理を含む、
請求項１に記載の制御方法。
【請求項3】
属性及び属性値を示す属性情報と匿名性に関する第２条件とを受け付けると、前記属性情報に応じた複数の個人データを前記データベースから抽出し、
抽出した前記複数の個人データのうちの前記第２条件を満たす個人データを出力する、
処理を前記コンピュータが実行する、請求項１又は請求項２に記載の制御方法。
抽出した前記複数の個人データのうちの前記第２条件を満たす個人データを出力する、
処理を前記コンピュータが実行する、請求項１又は請求項２に記載の制御方法。
【請求項4】
前記出力する処理は、
前記抽出した複数の個人データの前記第１条件ごとの統計値を算出し、
前記統計値から得られる前記第１条件ごとの個人データの匿名性が前記第２条件を満たすときの個人データのうちの前記第１条件が最小である前記個人データを出力する、処理を含む、
請求項３に記載の制御方法。
前記抽出した複数の個人データの前記第１条件ごとの統計値を算出し、
前記統計値から得られる前記第１条件ごとの個人データの匿名性が前記第２条件を満たすときの個人データのうちの前記第１条件が最小である前記個人データを出力する、処理を含む、
請求項３に記載の制御方法。
【請求項5】
第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定し、
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
処理をコンピュータに実行させる、制御プログラム。
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
処理をコンピュータに実行させる、制御プログラム。
【請求項6】
第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定し、
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
制御部を備える、情報処理装置。
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
制御部を備える、情報処理装置。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、制御方法、制御プログラム、及び、情報処理装置に関する。
【背景技術】
【0002】
分散型技術を安全に利用可能とするTrusted Webの枠組みが提案されている。Trusted Webには、データ提供者の個人情報からデータベースを生成し、データ利用者に提供することで、データ流通を実現するデータ処理技術が含まれる。
【0003】
データ処理技術によれば、データ提供者（例えば個人）と、データ利用者（例えば企業）との間で１対１による個人情報の取引交渉を実現できる可能性がある。
【0004】
データ処理技術では、データ提供者から提供される個人情報（「提供データ」と表記する場合がある）に対して、個人識別性を取り除く、又は、ノイズを付与することによって、個人情報の再識別リスクを低減するための保護処理が行なわれる。
【0005】
保護処理としては、例えば、提供データと同一の属性値の組（セット）を有するｋ個のデータをデータベースに保持することで、提供データの匿名性を向上させるｋ－匿名化が知られている。以下、提供データに含まれる属性値の組（セット）を、「属性値タプル」又は「タプル」と表記する場合がある。
【0006】
なお、所定の評価基準により、プライバシーデータに対する安全性評価を実現する評価手法が知られている。安全性としては、例えば、個人識別性、一例として匿名性が挙げられる。
【先行技術文献】
【特許文献】
【0007】
【特許文献1】特開２０１１－１３４１５３号公報
【発明の概要】
【発明が解決しようとする課題】
【0008】
データ処理技術に評価手法を適用する場合、データ提供者は、データ処理技術の管理者（以下、「データ管理者」と表記する場合がある）が提示するデータ利用ポリシーに同意し、個人情報を提供した後に、プライバシーリスクを評価可能となる。
【0009】
このように、データ管理者では、各データ提供者からデータを収集してからプライバシーリスクの評価が実施される。換言すれば、データ提供者は、提供データ（属性値タプル）の個人識別性を提供データの提供前に評価できず、例えば、データ提供者が意図するよりも高い個人識別性を持つ提供データがデータベースに蓄積される可能性がある。
【0010】
１つの側面では、本発明は、データ提供者が望まない条件で個人データが利用されることを抑制することを目的の１つとする。
【課題を解決するための手段】
【0011】
１つの側面では、制御方法は、コンピュータが以下の処理を実行してよい。前記処理は、第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定する処理を含んでよい。また、前記処理は、前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう処理を含んでよい。
【発明の効果】
【0012】
１つの側面では、本発明は、データ提供者が望まない条件で個人データが利用されることを抑制することができる。
【図面の簡単な説明】
【0013】
【図1】一実施形態の比較例に係るデータ管理システムの構成例を示すブロック図である。
【図2】プライバシー保護処理の一例であるｋ－匿名化処理を説明する図である。
【図3】一実施形態に係るデータ管理システムの機能構成例を示すブロック図である。
【図4】一実施形態に係るサーバの機能を実現するコンピュータのハードウェア（ＨＷ）構成例を示すブロック図である。
【図5】データ提供側における匿名性評価の一例を示す図である。
【図6】提供評価部による提供評価処理の一例を説明する図である。
【図7】データ利用側における匿名性と価値評価との一例を説明するための図である。
【図8】利用評価部による利用評価処理の一例を説明する図である。
【図9】利用評価部による利用評価処理の一例を説明する図である。
【図10】一実施形態に係るサーバによる提供評価処理の動作例を説明するフローチャートである。
【図11】一実施形態に係るサーバによる利用評価処理の動作例を説明するフローチャートである。
【発明を実施するための形態】
【0014】
以下、図面を参照して本発明の実施の形態を説明する。ただし、以下に説明する実施形態は、あくまでも例示であり、以下に明示しない種々の変形又は技術の適用を排除する意図はない。例えば、本実施形態を、その趣旨を逸脱しない範囲で種々変形して実施することができる。なお、以下の説明で用いる図面において、同一符号を付した部分は、特に断らない限り、同一若しくは同様の部分を表す。
【0015】
〔Ａ〕比較例
図１は、一実施形態の比較例に係るデータ管理システム１００の構成例を示すブロック図である。図１に示すように、比較例に係るデータ管理システム１００は、データ提供者１Ａの端末１１０、データ管理者１Ｂのサーバ１２０、及び、データ利用者１Ｃの端末１３０を備えてよい。
図１は、一実施形態の比較例に係るデータ管理システム１００の構成例を示すブロック図である。図１に示すように、比較例に係るデータ管理システム１００は、データ提供者１Ａの端末１１０、データ管理者１Ｂのサーバ１２０、及び、データ利用者１Ｃの端末１３０を備えてよい。
【0016】
データ提供者１Ａは、個人情報をデータ管理者１Ｂに提供する者であり、例えば個人であってもよい。データ利用者１Ｃは、データ管理者１Ｂが提供する個人情報（提供データ）を利用する者であり、例えば企業であってもよい。
【0017】
データ管理者１Ｂは、データ提供者１Ａから個人情報を収集し、データ利用者１Ｃに提供することで、データ流通を実現する者であり、例えば、データ処理技術によるサービスを提供する団体、組織、企業等であってよい。
【0018】
図１に示すように、データ管理者１Ｂは、データ提供側の処理として、サーバ１２０から所定のデータ提供条件１２１をデータ提供者１Ａに提示する（符号Ａ１参照）。
【0019】
データ提供者１Ａは、データ提供条件１２１に同意する場合に、端末１１０の提供者ＤＢ（Database）１１１から個人情報である提供データ１１２を読み出して、サーバ１２０に送信する（符号Ａ２参照）。
【0020】
サーバ１２０は、提供データ受信部１２２で提供データ１１２を受信すると、データ統合部１２３により提供データ１１２をデータ管理ＤＢ１２４に統合（格納）する（符号Ａ３参照）。
【0021】
また、データ管理者１Ｂは、データ利用側の処理として、サーバ１２０から所定のデータ利用条件１２５をデータ利用者１Ｃに提示する（符号Ｂ１参照）。
【0022】
データ利用者１Ｃがデータ利用条件１２５に同意すると、サーバ１２０は、データ管理ＤＢ１２４から提供データを読み出す。そして、サーバ１２０は、プライバシー保護処理部１２６により、提供データに対して、データ提供条件１２１及びデータ利用条件１２５に合致するプライバシー保護処理を実行する（符号Ｂ２参照）。
【0023】
端末１３０は、プライバシー保護処理が施された提供データを受信して利用者ＤＢ１３１に格納し、データ１３２を利用する（符号Ｂ３参照）。
【0024】
図２は、プライバシー保護処理の一例であるｋ－匿名化処理を説明する図である。ｋ－匿名化処理は、例えば、図１のプライバシー保護処理部１２６により実行されてよいが、データ統合部１２３により、データ管理ＤＢ１２４に格納される提供データに対して実行されてもよい。
【0025】
図２に示すように、プライバシー保護処理部１２６は、ｋ－匿名化処理において、ｋ－匿名性が実現するまで、収集したデータの値を書き換える。
【0026】
以下の説明において、「ｋ－匿名性」とは、或るデータセット、例えばデータ管理ＤＢ１２４内の全データについて、どの属性値の組も、同一の属性値の組がｋ－１件以上存在することを示す。「ｋ－匿名化」とは、異なる属性値の組を持つデータを、抑制又は一般化等によって、ｋ－匿名性を持つように変換することを意味する。
【0027】
図２では、元データとなるデータ管理ＤＢ１２４内のデータの属性値の組（郵便番号，年齢，性別）について、ｋ＝２とした２－匿名化を行ない、データ１３２を生成する例を示す。
【0028】
なお、プライバシー保護処理部１２６は、元データの各属性を、識別子、準識別子、及び、機密情報に分類し、機密情報（図２の例では病状）を匿名性評価に含めない（ｋ－匿名化の対象外とする）ことも許容される。病状を含める場合、匿名性がなくなる可能性があるためである。以下の説明では、簡単のために、図２に例示するように、全ての属性情報を含めて匿名性を評価する場合を説明する。
【0029】
ｋ－匿名化において、ｋの値を大きくするほど、データの識別性及び多様性が減少し、データの価値が失われることになる。一方で、ｋの値が小さいほど、データの個人識別性が低下する、換言すれば、個人情報が復元されるリスクが高くなる。
【0030】
サーバ１２０（プライバシー保護処理部１２６）は、どの程度の匿名性レベルとするか、換言すれば、ｋの値を決定する。図２の例では、匿名性レベルがｋ＝２である。この場合、郵便番号又は年齢が第三者（例えば攻撃者）に知られた場合、ｋ－匿名化されたデータ１３２は、１／２の個人識別性があるといえる。
【0031】
図１に例示するTrusted Webの一態様では、個人及び企業間での１対１での取引交渉が可能になるが、個人及び企業のそれぞれにおいて、以下のような個人情報活用に関する不都合が生じる場合がある。
【0032】
一例として、データ提供側の処理に関し、データ提供者１Ａは、データ提供条件１２１に同意し、提供データ１１２の提供後に、プライバシーリスクの評価が可能となる。例えば、データ提供者１Ａは、提供前に、提供データ１１２に含まれる属性から各属性の値の個人識別性を判断及び制御できない。このように、データ提供者１Ａは、提供データ１１２単独では統計的に計算されるプライバシーリスクを事前評価できないため、個人識別性の高いデータが利活用されることを望まない場合であっても、当該データが利活用される可能性を排除できない。
【0033】
また、データ提供者１Ａは、自身が提供するデータ（或いはデータセット）の希少性、換言すれば価値を事前に評価できないため、適切な対価を得られない場合がある。
【0034】
さらに、データ利用側の処理に関し、データ利用者１Ｃは、データ利用条件１２５の同意後にデータ１３２を取得するため、データ１３２の取得後に、属性値の個人識別性が高いことが判明する可能性がある。この場合、個人識別性の高さに応じた適切なデータ１３２の管理が求められるため、想定以上のリスク及び管理コストが発生する可能性がある。
【0035】
また、データ利用者１Ｃは、例えば、個々のデータ提供者１Ａからデータ１３２を収集する場合、データ利用者１Ｃが望む属性の値を持つデータ提供者１Ａが一定数以上存在するか否かを事前に制御できない。データ利用者１Ｃ、例えば企業は、費用等の観点から、できるだけ最小のデータ１３２を受け取ることを望む。しかし、受け取るデータ１３２に、必要な情報（例えば属性値タプル）が含まれていないと利用価値がないため、データ利用者１Ｃは、できるだけ多くのデータ１３２を集めることになる。従って、データ利用者１Ｃにとって、コストが増加する可能性がある。
【0036】
このように、図１に例示するTrusted Webの一態様では、データ提供側及びデータ利用側の一方又は双方において、個人情報の匿名性の保証と、個人情報の価値の保証との両立が困難になる場合がある。
【0037】
そこで、一実施形態では、１つの側面において、データ提供者が望まない条件で個人データが利用されることを抑制するための手法を説明する。
【0038】
〔Ｂ〕構成例
以下、上述した手法を実現するための構成として、一実施形態に係るデータ管理システム１（図３参照）を例に挙げて説明する。
以下、上述した手法を実現するための構成として、一実施形態に係るデータ管理システム１（図３参照）を例に挙げて説明する。
【0039】
図３は、一実施形態に係るデータ管理システム１の機能構成例を示すブロック図である。図３に示すように、データ管理システム１は、例示的に、データ提供者１Ａが利用する端末１０、データ管理者１Ｂが利用するサーバ２０、及び、データ利用者１Ｃが利用する端末３０を備えてよい。端末１０及びサーバ２０は、図示しないネットワークを介して相互に通信可能に接続されてよい。サーバ２０及び端末３０は、図示しないネットワークを介して相互に通信可能に接続されてよい。
【0040】
〔Ｂ－１〕ハードウェア構成例
一実施形態に係るサーバ２０は、仮想サーバ（ＶＭ；Virtual Machine）であってもよいし、物理サーバであってもよい。また、サーバ２０の機能は、１台のコンピュータにより実現されてもよいし、２台以上のコンピュータにより実現されてもよい。さらに、サーバ２０の機能のうちの少なくとも一部は、クラウド環境により提供されるＨＷ（Hardware）リソース及びＮＷ（Network）リソースを用いて実現されてもよい。
一実施形態に係るサーバ２０は、仮想サーバ（ＶＭ；Virtual Machine）であってもよいし、物理サーバであってもよい。また、サーバ２０の機能は、１台のコンピュータにより実現されてもよいし、２台以上のコンピュータにより実現されてもよい。さらに、サーバ２０の機能のうちの少なくとも一部は、クラウド環境により提供されるＨＷ（Hardware）リソース及びＮＷ（Network）リソースを用いて実現されてもよい。
【0041】
図４は、一実施形態に係るサーバ２０の機能を実現するコンピュータ２のハードウェア（ＨＷ）構成例を示すブロック図である。サーバ２０の機能を実現するＨＷリソースとして、複数のコンピュータが用いられる場合は、各コンピュータが図４に例示するＨＷ構成を備えてよい。
【0042】
図４に示すように、コンピュータ２は、ＨＷ構成として、例示的に、プロセッサ２ａ、メモリ２ｂ、記憶部２ｃ、ＩＦ（Interface）部２ｄ、Ｉ／Ｏ（Input / Output）部２ｅ、及び読取部２ｆを備えてよい。
【0043】
プロセッサ２ａは、種々の制御や演算を行なう演算処理装置の一例である。プロセッサ２ａは、コンピュータ２内の各ブロックとバス２ｉで相互に通信可能に接続されてよい。なお、プロセッサ２ａは、複数のプロセッサを含むマルチプロセッサであってもよいし、複数のプロセッサコアを有するマルチコアプロセッサであってもよく、或いは、マルチコアプロセッサを複数有する構成であってもよい。
【0044】
プロセッサ２ａとしては、例えば、ＣＰＵ、ＭＰＵ、ＧＰＵ、ＡＰＵ、ＤＳＰ、ＡＳＩＣ、ＦＰＧＡ等の集積回路（ＩＣ；Integrated Circuit）が挙げられる。なお、プロセッサ２ａとして、これらの集積回路の２以上の組み合わせが用いられてもよい。ＣＰＵはCentral Processing Unitの略称であり、ＭＰＵはMicro Processing Unitの略称である。ＧＰＵはGraphics Processing Unitの略称であり、ＡＰＵはAccelerated Processing Unitの略称である。ＤＳＰはDigital Signal Processorの略称であり、ＡＳＩＣはApplication Specific ICの略称であり、ＦＰＧＡはField-Programmable Gate Arrayの略称である。
【0045】
例えば、一実施形態に係るサーバ２０が機械学習処理を実行する場合、プロセッサ２ａは、データ管理処理を実行するＣＰＵ等の処理装置と、機械学習処理を実行するアクセラレータとの組み合わせであってよい。アクセラレータとしては、例えば、上述したＧＰＵ、ＡＰＵ、ＤＳＰ、ＡＳＩＣ又はＦＰＧＡ等が挙げられる。
【0046】
メモリ２ｂは、種々のデータやプログラム等の情報を格納するＨＷの一例である。メモリ２ｂとしては、例えばＤＲＡＭ（Dynamic Random Access Memory）等の揮発性メモリ、及び、ＰＭ（Persistent Memory）等の不揮発性メモリ、の一方又は双方が挙げられる。
【0047】
記憶部２ｃは、種々のデータやプログラム等の情報を格納するＨＷの一例である。記憶部２ｃとしては、ＨＤＤ（Hard Disk Drive）等の磁気ディスク装置、ＳＳＤ（Solid State Drive）等の半導体ドライブ装置、不揮発性メモリ等の各種記憶装置が挙げられる。不揮発性メモリとしては、例えば、フラッシュメモリ、ＳＣＭ（Storage Class Memory）、ＲＯＭ（Read Only Memory）等が挙げられる。
【0048】
記憶部２ｃは、コンピュータ２の各種機能の全部若しくは一部を実現するプログラム２ｇ（制御プログラム）を格納してよい。
【0049】
例えば、サーバ２０のプロセッサ２ａは、記憶部２ｃに格納されたプログラム２ｇをメモリ２ｂに展開して実行することにより、後述するサーバ２０（図３に例示する制御部２９）としての機能を実現できる。
【0050】
ＩＦ部２ｄは、サーバ２０と他の装置との間のネットワークを含む種々のネットワークとの間の接続及び通信の制御等を行なう通信ＩＦの一例である。他の装置としては、例えば、端末１０又は端末３０等のコンピュータが挙げられる。
【0051】
例えば、ＩＦ部２ｄは、イーサネット（登録商標）等のＬＡＮ（Local Area Network）、或いは、ＦＣ（Fibre Channel）等の光通信等に準拠したアダプタを含んでよい。当該アダプタは、無線及び有線の一方又は双方の通信方式に対応してよい。
【0052】
なお、プログラム２ｇは、当該通信ＩＦを介して、ネットワークからコンピュータ２にダウンロードされ、記憶部２ｃに格納されてもよい。
【0053】
Ｉ／Ｏ部２ｅは、入力装置、及び、出力装置、の一方又は双方を含んでよい。入力装置としては、例えば、キーボード、マウス、タッチパネル等が挙げられる。出力装置としては、例えば、モニタ、プロジェクタ、プリンタ等が挙げられる。また、Ｉ／Ｏ部２ｅは、入力装置及び表示装置が一体となったタッチパネル等を含んでもよい。
【0054】
読取部２ｆは、記録媒体２ｈに記録されたデータやプログラムの情報を読み出すリーダの一例である。読取部２ｆは、記録媒体２ｈを接続可能又は挿入可能な接続端子又は装置を含んでよい。読取部２ｆとしては、例えば、ＵＳＢ（Universal Serial Bus）等に準拠したアダプタ、記録ディスクへのアクセスを行なうドライブ装置、ＳＤカード等のフラッシュメモリへのアクセスを行なうカードリーダ等が挙げられる。なお、記録媒体２ｈにはプログラム２ｇが格納されてもよく、読取部２ｆが記録媒体２ｈからプログラム２ｇを読み出して記憶部２ｃに格納してもよい。
【0055】
記録媒体２ｈとしては、例示的に、磁気／光ディスクやフラッシュメモリ等の非一時的なコンピュータ読取可能な記録媒体が挙げられる。磁気／光ディスクとしては、例示的に、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ブルーレイディスク、ＨＶＤ（Holographic Versatile Disc）等が挙げられる。フラッシュメモリとしては、例示的に、ＵＳＢメモリやＳＤカード等の半導体メモリが挙げられる。
【0056】
上述したコンピュータ２のＨＷ構成は例示である。従って、コンピュータ２内でのＨＷの増減（例えば任意のブロックの追加や削除）、分割、任意の組み合わせでの統合、又は、バスの追加若しくは削除等は適宜行なわれてもよい。
【0057】
また、図３に示す端末１０及び端末３０の一方又は双方を実現するＨＷとして、図４に示すコンピュータ２が用いられてもよい。例えば、端末１０のプロセッサ２ａは、記憶部２ｃに格納されたプログラム２ｇをメモリ２ｂに展開して実行することにより、後述する端末１０としての機能を実現できる。また、例えば、端末３０のプロセッサ２ａは、記憶部２ｃに格納されたプログラム２ｇをメモリ２ｂに展開して実行することにより、後述する端末３０としての機能を実現できる。
【0058】
〔Ｂ－２〕機能構成例
次に、図３を参照して、データ管理システム１の機能構成例（ソフトウェア構成例）を説明する。
次に、図３を参照して、データ管理システム１の機能構成例（ソフトウェア構成例）を説明する。
【0059】
データ管理システム１は、個人情報を、データ提供者１Ａ（例えば個人）、データ利用者１Ｃ（例えば企業）、並びに、データ管理者１Ｂ（例えば情報銀行、プラットフォーマ、スマートコントラクト等の仲介者）の間で流通させるためのシステムである。例えば、データ管理システム１は、データ提供者１Ａから取得した個人情報からデータベースを生成し、データ利用者１Ｃに提供するデータ処理技術により実現される。
【0060】
データ管理システム１では、「データ」は、データ提供者１Ａ、データ管理者１Ｂ及びデータ利用者１Ｃ間で共通のデータ構造及び語彙で表現されてよい。データ提供者１Ａは、所定の条件が満たされる場合、データ管理者１Ｂを介して、個人情報の生データ、或いは、仮名化、匿名化又は統計化された状態のデータ、をデータ利用者１Ｃに提供することに同意しているものとする。
【0061】
図３に示すように、端末１０は、データ提供者１Ａの個人情報に関するデータを格納する提供者ＤＢ１１を備える。端末１０は、提供者ＤＢ１１から抽出した提供データ１２と、データ提供条件１３とをサーバ２０に送信する。
【0062】
提供データ１２は、第１の個人データの一例であり、個人情報の生データ又は仮名化データ等の属性値タプルデータであってよい。
【0063】
データ提供条件１３は、個人識別性に関する第１条件の一例であり、例えば、ｋ－匿名性の指標となるｋ値（ｋＰ）であってよい。ｋＰは、同一の個人データの数に関する条件の一例である。例えば、ｋＰ＝１である場合、匿名性無し（生データ又は仮名化データである提供データ１２そのもの）を意味し、ｋＰ＞２である場合、ｋ－匿名性有り（確率的な個人識別可能性有り）を意味してよい。
【0064】
これにより、端末１０は、データ提供条件１３が満たされる場合に提供データ１２を提供する、という提供ポリシーに合意するものとして、提供依頼を行なう。なお、端末１０は、例えば、サーバ２０による評価結果を評価値１４として受信することで、データ提供条件１３が満たされるか否かを検知できる。
【0065】
図５は、データ提供側における匿名性評価の一例を示す図である。一実施形態において、データ提供側では、データ提供者１Ａが提供する提供データ１２に関する属性値タプルが、匿名性の観点でサーバ２０側でどのように見えるかについて着目する。
【0066】
例えば、図５に示すように、提供データ１２が（郵便番号、性別、糖尿病分類、身長、体重、体脂肪率）の属性値タプルである場合を想定する。
【0067】
サーバ２０側のデータの第１の例では、符号Ｃ１に示すように、仮名化データである提供データ１２をサーバ２０に提供すると、当該提供データ１２が、サーバ２０においてｋ＝３の匿名性を有する場合を示す。
【0068】
サーバ２０側のデータの第２の例では、符号Ｃ２に示すように、匿名加工した提供データ１２をサーバ２０に提供すると、当該提供データ１２が、サーバ２０においてｋ＝５の匿名性を有する場合を示す。
【0069】
図５に示すように、サーバ２０において、提供データ１２と同じ属性値の組、換言すれば、提供データ１２と区別できないタプルが存在する場合に、提供データ１２を含めた当該組の数ｋに応じた匿名性があることを意味する。
【0070】
データ提供者１Ａは、どの程度の匿名性を求めるかに応じて、ｋＰの値、換言すれば、データ提供条件１３を指定することができる。
【0071】
図３に示すように、サーバ２０は、例示的に、提供評価部２０Ａ、利用評価部２０Ｂ、提供データ受信部２１、データ統合部２５、及び、データ管理ＤＢ２６を備えてよい。提供評価部２０Ａ、利用評価部２０Ｂ、提供データ受信部２１、及び、データ統合部２５は、制御部２９の一例である。
【0072】
提供評価部２０Ａは、データ提供者１Ａが提供に合意する前のデータに対して、当該データの匿名性、換言すれば、データ集合における希少価値に関する評価を行ない、評価結果を評価値１４として端末１０に通知する。
【0073】
このために、提供評価部２０Ａは、重複評価データＤＢ２２、匿名性評価部２３及び匿名性条件統合部２４を備えてよい。
【0074】
提供データ受信部２１は、端末１０から提供データ１２及びデータ提供条件１３を受信し、提供評価部２０Ａに出力する。例えば、提供データ受信部２１は、提供データ１２を仮名化して（提供データ１２が仮名化データである場合はそのまま）抽出し、重複評価データＤＢ２２に格納する。また、提供データ受信部２１は、データ提供条件１３を匿名性評価部２３に出力する。
【0075】
匿名性評価部２３は、重複評価データＤＢ２２に対して、データ提供条件１３に応じて段階的にデータ集合を作成して、提供データ１２の匿名性を評価し、評価値１４を出力する。
【0076】
図６は、提供評価部２０Ａによる提供評価処理の一例を説明する図である。図６に示すように、提供データ１２が（年齢、性別、ＢＭＩ、ＢＰ、ＧＬＵ）の属性値（タプルＴ）であり、データ提供条件１３が、提供条件＃０（ｋＰ＝２）、提供条件＃１（ｋＰ＝３）、又は、提供条件＃２（ｋＰ＝１）である場合を例に挙げる。なお、重複評価データＤＢ２２の４番目のエントリには、提供データ受信部２１により提供データ１２のタプルＴが登録されているものとする。
【0077】
匿名性評価部２３は、提供データ１２の組（タプルＴ）とデータ提供条件１３とを紐付けたタプル２３ａと、重複評価データＤＢ２２に含まれる複数の属性値の組（タプル）とを比較する。例えば、匿名性評価部２３は、重複評価データＤＢ２２に含まれる複数のデータのうちの、提供データ１２と同一であるデータ（タプル）の数が、ｋＰ－１個である場合に、データ提供条件１３が満たされると判定してよい。
【0078】
図６において提供条件＃０の場合、ｋＰ＝２は、提供データ１２のタプルＴと同一のタプルが１つでも重複評価データＤＢ２２に存在すれば、提供データ１２が提供可能であることを意味する。重複評価データＤＢ２２には、３番目のエントリに提供データ１２のタプルＴと同一のタプルが１つ存在する。
【0079】
この場合、匿名性評価部２３は、提供データ１２が提供可能であると判定し、重複評価データＤＢ２２の４番目のエントリの提供可否に「OK」を登録する。また、タプルＴの登録により、重複評価データＤＢ２２の３番目のエントリ（ｋＰ＝２）が提供可能となる。そこで、匿名性評価部２３は、３番目のエントリの提供可否を「NG」から「OK」に更新する。
【0080】
図６において提供条件＃１の場合、ｋＰ＝３は、提供データ１２のタプルＴと同一のタプルが２つ重複評価データＤＢ２２に存在すれば、提供データ１２が提供可能であることを意味する。重複評価データＤＢ２２には、３番目のエントリに提供データ１２のタプルＴと同一のタプルが１つ存在するだけである。
【0081】
この場合、匿名性評価部２３は、提供データ１２が提供不可能であると判定し、重複評価データＤＢ２２の４番目のエントリの提供可否に「NG」を仮登録する。「仮登録」されたエントリは、仮登録されてから一定期間（一例として、１時間等）が経過するまでの間に、提供可否「OK」に更新される余地があるエントリである。例えば、匿名性評価部２３は、他のデータ提供者１Ａ等から、タプルＴと同一のタプルを提供データ１２として受信すると、提供条件＃０の場合の３番目のエントリと同様に、仮登録したエントリの提供可否を「OK」に更新してよい。仮登録してから一定期間経過後に提供可否「NG」であるエントリは、削除されてよい。
【0082】
図６において提供条件＃２の場合、ｋＰ＝１は、提供データ１２のタプルＴと同一のタプルが重複評価データＤＢ２２に存在しなくても、提供データ１２が提供可能であることを意味する。重複評価データＤＢ２２には、３番目のエントリに提供データ１２のタプルＴと同一のタプルが１つ存在する。
【0083】
この場合、匿名性評価部２３は、提供データ１２が提供可能であると判定し、重複評価データＤＢ２２の４番目のエントリの提供可否に「OK」を登録する。また、タプル２３ａの登録により、重複評価データＤＢ２２の３番目のエントリ（ｋＰ＝２）が提供可能となる。そこで、匿名性評価部２３は、３番目のエントリの提供可否を「NG」から「OK」に更新する。
【0084】
匿名性評価部２３は、重複評価データＤＢ２２への提供可否の登録又は更新が発生した場合に、端末１０に評価値１４を通知してよい。
【0085】
例えば、匿名性評価部２３は、タプルＴの提供可否が「OK」である場合、又は、「NG」から「OK」に更新された場合に、評価値１４として、提供データ１２の提供を行なうことを端末１０に通知してよい。また、例えば、匿名性評価部２３は、タプルＴの提供可否が「NG」である場合に、評価値１４として、データ提供条件１３が満たされないため、一定期間に亘って登録を保留することを端末１０に通知してよい。さらに、例えば、匿名性評価部２３は、タプルＴの提供可否が「NG」のまま一定時間経過した場合に、評価値１４として、提供データ１２の提供を行なわない（提供に失敗した）ことを、端末１０に通知してよい。
【0086】
匿名性条件統合部２４は、重複評価データＤＢ２２から、提供可否が「OK」であるエントリ、換言すれば、匿名性評価部２３による匿名性評価の条件をクリアしたエントリを抽出する。
【0087】
データ統合部２５は、匿名性条件統合部２４が抽出したエントリをデータ管理ＤＢ２６に登録する。
【0088】
このように、匿名性条件統合部２４及びデータ統合部２５は、提供データ１２のデータ管理ＤＢ２６への登録の制御を行なうといえる。
【0089】
データ管理ＤＢ２６は、データ提供者１Ａから提供される個人情報（データ）を格納する。データ管理ＤＢ２６は、重複評価データＤＢ２２と同様のデータ構造を有してよい。例えば、データ管理ＤＢ２６は、重複評価データＤＢ２２のうちの、提供可否が「NG」のエントリを除外したＤＢであると捉えられてもよい。
【0090】
なお、一実施形態では、サーバ２０が、重複評価データＤＢ２２及びデータ管理ＤＢ２６の双方を備えるものとしたが、これに限定されるものではなく、サーバ２０は、重複評価データＤＢ２２及びデータ管理ＤＢ２６のいずれか一方を備えてもよい。例えば、重複評価データＤＢ２２が省略される場合、提供評価部２０Ａは、データ管理ＤＢ２６にタプル２３ａを登録又は仮登録してよい。この場合、データ管理ＤＢ２６におけるエントリの有効性は、提供可否が「OK」か「NG」かに応じて管理されてもよい。
【0091】
このように、重複評価データＤＢ２２及びデータ管理ＤＢ２６の一方又は双方は、１以上の個人データが登録されるデータベースの一例である。
【0092】
なお、重複評価データＤＢ２２及びデータ管理ＤＢ２６の一方又は双方は、図４に示すメモリ２ｂ及び記憶部２ｃの一方又は双方が有する記憶領域により実現されてよい。
【0093】
以上のように、提供評価部２０Ａは、データ提供者１Ａから要求されるデータ提供条件１３（匿名性）が保証される場合に、データ管理ＤＢ２６に提供データ１２を登録する。これにより、取引されるデータの匿名性に関する信頼性を高めることができる。
【0094】
図３に示すように、端末３０は、データ利用者１Ｃが利用する個人情報に関するデータを格納する利用者ＤＢ３３を備える。端末３０は、データ利用条件３１をサーバ２０に送信する。
【0095】
データ利用条件３１は、一例として、要求価値と要求匿名性とを含んでよい。
【0096】
要求価値は、属性及び属性値を示す属性情報の一例であり、例えば、データ利用者１Ｃが利用を希望する（要求する）属性値タプルであってよい。
【0097】
要求匿名性は、匿名性に関する第２条件の一例であり、例えば、データ利用者１Ｃが要求する最小のｋ値（ｋＲ）であってよい。要求匿名性は、要求プライバシー条件又は許容リスク値と称されてもよい。ｋＲは、ｋ－匿名性の指標となる値であり、例えば、ｋＲ＝１である場合、匿名性無し（仮名化データそのもの）を意味し、ｋＲ＞２である場合、ｋ－匿名性有り（確率的な個人識別可能性有り）を意味してよい。
【0098】
これにより、端末３０は、データ利用条件３１が満たされる場合にデータ３４の提供を受ける、という利用ポリシーに合意するものとして、利用依頼を行なう。なお、端末３０は、例えば、サーバ２０による判定結果３２を受信することで、データ利用条件３１が満たされるか否かを検知できる。
【0099】
図７は、データ利用側における匿名性と価値評価との一例を説明するための図である。一実施形態において、データ利用側では、サーバ２０の有するデータ管理ＤＢ２６全体が、匿名性の観点でどのように見えるか、並びに、データ利用者１Ｃが要求する属性及び属性値が含まれているかについて着目する。
【0100】
例えば、図７に示すように、データ管理ＤＢ２６が（郵便番号、性別、糖尿病分類、身長、体重、体脂肪率）の属性値タプルを有する場合を想定する。
【0101】
第１の例では、符号Ｄ１に示すように、データ管理ＤＢ２６のタプルがｋ＝２の匿名性を有する場合を示す。
【0102】
第２の例では、符号Ｄ２に示すように、データ管理ＤＢ２６のタプルがｋ＝４の匿名性を有する場合を示す。
【0103】
データ利用者１Ｃは、データ管理ＤＢ２６がどのレベルの匿名性を有するか、及び、データ利用者１Ｃが利用したいデータ３４の属性値タプルが含まれるか否かに応じて、ｋＲの値、換言すれば、データ利用条件３１を指定することができる。
【0104】
図３の説明に戻り、利用評価部２０Ｂは、利用価値判定部２７及び許容リスク別データ抽出部２８を備えてよい。
【0105】
利用価値判定部２７は、端末３０からデータ利用条件３１を受信すると、データ利用条件３１を許容リスク別データ抽出部２８に通知する。また、利用価値判定部２７は、許容リスク別データ抽出部２８により抽出及び集約された評価用データに基づき、利用価値の判定処理を行ない、判定結果３２及びデータ３４の一方又は双方を端末３０に通知する。
【0106】
許容リスク別データ抽出部２８は、データ管理ＤＢ２６から、データ利用条件３１に応じたデータの抽出及び集約を行ない、評価用データを作成する。例えば、許容リスク別データ抽出部２８は、データ管理ＤＢ２６から、データ利用条件３１の要求価値の属性値に一致するデータ集合を抽出してよい。
【0107】
【0108】
また、図８では、第１の例（符号Ｅ１参照）として、データ利用条件３１の要求価値が（Ｔ１、Ｔ２、Ｔ３）であり、要求匿名性がｋＲ＝２である場合を例に挙げる。
【0109】
さらに、図９では、第２の例（符号Ｅ２参照）として、データ利用条件３１の要求価値が（Ｔ１、Ｔ２、Ｔ３、Ｔ４）であり、要求匿名性がｋＲ＝３である場合を例に挙げる。また、図９では、第３の例（符号Ｅ３参照）として、データ利用条件３１の要求価値が（Ｔ１、Ｔ２、Ｔ３、Ｔ４）であり、要求匿名性がｋＲ＝４である場合を例に挙げる。
【0110】
Ｔ１～Ｔ４のそれぞれは、データ管理ＤＢ２６の属性値の組み合わせを示す。一例として、Ｔ１は、図８に示すデータ管理ＤＢ２６の１番目のエントリに記載された属性値の組み合わせである。
【0111】
許容リスク別データ抽出部２８は、データ管理ＤＢ２６からデータ集合を抽出し、データ集合における、データ提供条件１３（ｋＰ）ごとの統計値２８ａを算出する。統計値２８ａは、ｋＰごとに、データ管理ＤＢ２６のタプルを集計及び統計化した情報である。
【0112】
符号Ｅ１の例では、統計値２８ａは、データ管理ＤＢ２６において、ｋＰ＝１の場合、Ｔ１を満たすタプルが１個、Ｔ２を満たすタプルが１個、Ｔ３を満たすタプルが０個存在し、Ｔ１～Ｔ３の匿名性はｋ＝１であることを示す。
【0113】
なお、ｋ（ｋＰ）は、値が小さいほど匿名性が低い。換言すれば、ｋＰの小さいデータは、利用の自由度が高いといえる。このため、統計値２８ａには、ｋＰ＝２の場合、ｋＰ＝２に該当する統計値に加えて、下位のｋＰ＝１に該当する統計値が加算されてよい。同様に、ｋＰ＝３の場合、統計値２８ａには、ｋＰ＝１、ｋＰ＝２及びｋＰ＝３の統計値が加算されてよい。
【0114】
利用価値判定部２７は、許容リスク別データ抽出部２８がデータ管理ＤＢ２６から抽出したデータ集合が、データ利用条件３１の要求匿名性ｋＲ及び要求価値を満たすか否かを、統計値２８ａに基づき評価し、データ利用者１Ｃへの提供可否を判定する。
【0115】
判定により、複数のデータ集合がデータ利用者１Ｃに提供可能になった場合、利用価値判定部２７は、例えば、提供可能なデータ集合のうちの最小のデータセットを提供してよい。換言すれば、利用価値判定部２７は、統計値２８ａから得られるデータ提供条件１３ごとのデータ（タプル）の匿名性が要求匿名性ｋＲを満たすときのデータ（タプル）のうちのデータ提供条件１３が最小であるデータを出力する。
【0116】
要求価値を満たすデータ集合が存在しない場合、利用価値判定部２７は、提供不可能と判定し処理を終了してもよいし、データ提供者１Ａによりデータがデータ管理ＤＢ２６に蓄積されるまで所定期間待ち合わせ、蓄積後に再評価を行なってもよい。
【0117】
図８の符号Ｅ１の例では、利用価値判定部２７は、要求匿名性ｋＲ＝２に対して、統計値２８ａでは、ｋＰ＝１，ｋ＝１であるため、要求匿名性ｋＲが満たされないと判定する。ｋＰ＝２、ｋＰ＝３の場合も同様に、それぞれｋ＝１であるため、利用価値判定部２７は、要求匿名性ｋＲが満たされない（ＮＧである）と判定する。図８に例示するように、統計値２８ａに基づく評価により、全てＮＧであると判定された場合、利用価値判定部２７は、提供不可能と判定する、或いは、所定期間待ち合わせ後の再評価を行なってよい。
【0118】
図９の符号Ｅ２の例では、利用価値判定部２７は、要求匿名性ｋＲ＝３に対して、統計値２８ａでは、ｋＰ＝１，ｋ＝１であるため、要求匿名性ｋＲが満たされないと判定する。ｋＰ＝２，ｋ＝１の場合も同様に、利用価値判定部２７は、要求匿名性ｋＲが満たされない（ＮＧである）と判定する。ｋＰ＝３の場合、ｋ＝３であり、要求匿名性ｋＲが満たされるが、要求価値のＴ４＝０であるため、利用価値判定部２７は、要求価値が満たされない（ＮＧである）と判定する。ｋＰ＝４の場合、ｋ＝４であり、且つ、Ｔ１～Ｔ４の全ての属性がデータ管理ＤＢ２６に含まれるため、利用価値判定部２７は、要求価値及び要求匿名性ｋＲが満たされる（ＯＫである）と判定する。
【0119】
図９の符号Ｅ３の例では、利用価値判定部２７は、要求匿名性ｋＲ＝４に対して、統計値２８ａでは、ｋＰ＝１，ｋ＝１であるため、要求匿名性ｋＲが満たされないと判定する。ｋＰ＝２の場合、ｋ＝４であり、要求匿名性ｋＲが満たされるが、要求価値のＴ４＝０であるため、利用価値判定部２７は、要求価値が満たされない（ＮＧである）と判定する。ｋＰ＝３の場合、ｋ＝３であるため、要求匿名性ｋＲが満たされないと判定する。ｋＰ＝４の場合、ｋ＝４であり、且つ、Ｔ１～Ｔ４の全ての属性がデータ管理ＤＢ２６に含まれるため、利用価値判定部２７は、要求価値及び要求匿名性ｋＲが満たされる（ＯＫである）と判定する。
【0120】
このように、利用価値判定部２７は、要求匿名性ｋＲ以上の匿名性ｋＰ（ｋ）であり、要求価値を満たす属性値を有するデータ集合を、データ利用者１Ｃに出力するデータ３４に決定する。
【0121】
なお、利用価値判定部２７は、データ管理ＤＢ２６から抽出したデータの全数をＮｍａｘとし、要求価値に含まれる属性値タプルの種類数をｍとして、下記式（１）のようにデータ数が不足する場合、利用評価処理をスキップしてもよい。
データ数Ｎｍａｘ ＜ ｋＲ ＊ ｍ （１）
データ数Ｎｍａｘ ＜ ｋＲ ＊ ｍ （１）
【0122】
利用価値判定部２７は、利用評価処理において、データ管理ＤＢ２６（統計値２８ａ）がデータ利用条件３１を満たす場合、判定結果３２として、データ利用条件３１が満たされていることの通知、及び、データ３４を端末３０に送信してよい。
【0123】
〔Ｃ〕動作例
次に、一実施形態に係るデータ管理システム１の動作例を説明する。図１０は、一実施形態に係るサーバ２０による提供評価処理の動作例を説明するフローチャートであり、図１１は、一実施形態に係るサーバ２０による利用評価処理の動作例を説明するフローチャートである。
次に、一実施形態に係るデータ管理システム１の動作例を説明する。図１０は、一実施形態に係るサーバ２０による提供評価処理の動作例を説明するフローチャートであり、図１１は、一実施形態に係るサーバ２０による利用評価処理の動作例を説明するフローチャートである。
【0124】
〔Ｃ－１〕提供評価処理
図１０に例示するように、データ管理システム１において、サーバ２０の提供データ受信部２１は、端末１０から提供データ１２及びデータ提供条件１３を受信する（ステップＳ１）。
図１０に例示するように、データ管理システム１において、サーバ２０の提供データ受信部２１は、端末１０から提供データ１２及びデータ提供条件１３を受信する（ステップＳ１）。
【0125】
提供データ受信部２１は、提供データ１２を仮名化し、重複評価データＤＢ２２に登録する（ステップＳ２）。
【0126】
提供評価部２０Ａの匿名性評価部２３は、重複評価データＤＢ２２中の、提供データ１２と同一のタプル数をカウントする（ステップＳ３）。
【0127】
匿名性評価部２３は、同一のタプルの集合のデータ提供条件１３を評価する（ステップＳ４）。
【0128】
匿名性評価部２３は、同一のタプル数により、データ提供条件１３、例えばｋＰが満たされるか否かを判定する（ステップＳ５）。データ提供条件１３が満たされない場合（ステップＳ５でＮＯ）、匿名性評価部２３は、重複評価データＤＢ２２の提供データ１２のエントリの提供可否に「NG」を設定し（ステップＳ６）、一定時間が経過したか否かを判定する（ステップＳ７）。
【0129】
一定時間が経過していない場合（ステップＳ７でＮＯ）、処理がステップＳ５に移行する。一定時間が経過した場合（ステップＳ７でＹＥＳ）、匿名性評価部２３は、重複評価データＤＢ２２から提供データ１２のエントリを削除し（ステップＳ８）、処理がステップＳ１０に移行する。
【0130】
ステップＳ５において、データ提供条件１３が満たされる場合（ステップＳ５でＹＥＳ）、匿名性評価部２３は、重複評価データＤＢ２２内の同一のタプルでデータ提供条件１３を満たすエントリの提供可否を「OK」に更新し（ステップＳ９）、処理がステップＳ１０に移行する。
【0131】
ステップＳ１０では、匿名性評価部２３は、提供可否に応じた評価値１４を端末１０に出力する。
【0132】
匿名性条件統合部２４及びデータ統合部２５は、提供可否が「OK」である提供データ１２をデータ管理ＤＢ２６に登録し（ステップＳ１１）、提供評価処理が終了する。
【0133】
〔Ｃ－２〕利用評価処理
図１１に例示するように、データ管理システム１において、サーバ２０の利用評価部２０Ｂの利用価値判定部２７は、端末３０からデータ利用条件３１を受信する（ステップＳ２１）。
図１１に例示するように、データ管理システム１において、サーバ２０の利用評価部２０Ｂの利用価値判定部２７は、端末３０からデータ利用条件３１を受信する（ステップＳ２１）。
【0134】
許容リスク別データ抽出部２８は、データ利用条件３１に合わせて、データ管理ＤＢ２６からデータ提供条件１３（ｋＰ）ごとにデータを抽出する（ステップＳ２２）。
【0135】
許容リスク別データ抽出部２８は、Ｎｍａｘ＜ｋＲ＊ｍが満たされるか否かを判定する（ステップＳ２３）。Ｎｍａｘ＜ｋＲ＊ｍが満たされる場合（ステップＳ２３でＹＥＳ）、抽出したデータ数が、利用評価を行なうのに不十分である（足りない）ことを意味する。この場合、利用価値判定部２７は、データの提供が不可能であることの通知を含む判定結果３２を端末３０に送信し（ステップＳ２９）、利用評価処理が終了する。
【0136】
Ｎｍａｘ＜ｋＲ＊ｍが満たされない場合（ステップＳ２３でＮＯ）、抽出したデータ数が利用評価を行なうのに十分であることを意味する。許容リスク別データ抽出部２８は、抽出したデータを、データ提供条件１３ごとに統計化し、評価用テーブルとして統計値２８ａを生成する（ステップＳ２４）。
【0137】
利用価値判定部２７は、統計値２８ａにおいて、ｋＰが最小の統計値の組がデータ利用条件３１（ｋＲ，要求価値）を満たすか否かを判定する（ステップＳ２５）。
【0138】
ｋＰが最小の統計値の組がデータ利用条件３１を満たす場合（ステップＳ２５でＹＥＳ）、利用価値判定部２７は、提供することの通知とデータ３４とを含む判定結果３２を端末３０に提供（送信）し（ステップＳ２６）、利用評価処理が終了する。
【0139】
ｋＰが最小の統計値の組がデータ利用条件３１を満たさない場合（ステップＳ２５でＮＯ）、利用価値判定部２７は、データ利用条件３１を満たさない統計値の組を評価用テーブルから削除し（ステップＳ２７）、未評価のｋＰの統計値の組があるか否かを判定する（ステップＳ２８）。未評価のｋＰの統計値の組がある場合（ステップＳ２８でＹＥＳ）、処理がステップＳ２５に移行する。
【0140】
未評価のｋＰの統計値の組がない場合（ステップＳ２８でＮＯ）、利用価値判定部２７は、データの提供が不可能であることの通知を含む判定結果３２を端末３０に送信し（ステップＳ２９）、利用評価処理が終了する。
【0141】
〔Ｄ〕一実施形態の効果
一実施形態に係るデータ管理システム１では、サーバ２０は、提供データ１２とデータ提供条件１３とを受け付けると、データ管理ＤＢ２６に登録された個人データ（個人情報）と提供データ１２とを含む複数の個人データにおける当該提供データ１２の個人識別性がデータ提供条件１３を満たすか否かを判定する。当該判定処理は、上述した提供評価部２０Ａにより実行される。そして、サーバ２０は、当該判定の結果に基づき、提供データ１２のデータ管理ＤＢ２６への登録の制御、及び、当該判定の結果に応じた評価値１４の通知、の少なくとも一方を行なう。
一実施形態に係るデータ管理システム１では、サーバ２０は、提供データ１２とデータ提供条件１３とを受け付けると、データ管理ＤＢ２６に登録された個人データ（個人情報）と提供データ１２とを含む複数の個人データにおける当該提供データ１２の個人識別性がデータ提供条件１３を満たすか否かを判定する。当該判定処理は、上述した提供評価部２０Ａにより実行される。そして、サーバ２０は、当該判定の結果に基づき、提供データ１２のデータ管理ＤＢ２６への登録の制御、及び、当該判定の結果に応じた評価値１４の通知、の少なくとも一方を行なう。
【0142】
これにより、サーバ２０は、データ提供者１Ａが望まない条件で個人データが利用されることを抑制することができる。
【0143】
また、サーバ２０は、端末１０によるデータ提供に先立ち、提供評価前に属性情報や個人に関する情報の提供を完了させずに、提供する属性値からの個人識別リスクが一定以下である（換言すれば、匿名性がある）ことを保証できる。
【0144】
さらに、サーバ２０は、端末３０へのデータ提供に先立ち、利用評価前に属性情報や個人に関する情報の提供を完了させずに、端末３０が要求する属性値を一定以上含む（換言すれば、価値がある）ことを保証できる。
【0145】
このように、サーバ２０によれば、端末１０及び端末３０の間でのデータ交換においてやり取りされるデータが、取引主体の要求を満たすことを保証できる。
【0146】
また、サーバ２０によれば、データの取引主体が希望する条件を満たしつつ、データの値を可能な限り書き換えずに、匿名性を実現することができる。
【0147】
ところで、上述したように、比較例に係るデータ管理システム１００では、個々のデータ提供者１Ａは、自身の属性データを提供する前に、自身の属性がどの程度の個人識別性を有する状態で利用されるかを制御できない。
【0148】
また、比較例に係るデータ管理システム１００では、データ利用者１Ｃは、個々のデータ提供者１Ａからデータを収集する場合、自身の望む属性が一定数以上データに存在するか否かを判定できない。このため、データ利用者１Ｃが収集した属性の偏りによっては、通常以上に機微なデータである場合がある。この場合、当該データを処理するためのコスト及びリスクが増加する。
【0149】
一実施形態に係るデータ管理システム１によれば、サーバ２０は、個人情報をやり取りする前に、データ提供者１Ａ及びデータ利用者１Ｃのそれぞれにデータの匿名性を評価するための条件を提示、指定又は選択させることができる。これにより、サーバ２０は、取引対象のデータが、データ提供者１Ａ及びデータ利用者１Ｃのそれぞれが望むデータであり、且つ、想定したリスクに収まっていることを事前に検証することができる。
【0150】
従って、データ提供者１Ａが、自身の想定できないリスクのあるデータを提供することを抑制できる。また、データ利用者１Ｃが、想定外のデータを提供されるリスクを減少させることができ、また、データ利用者１Ｃが求めるデータの質を高めることができる。
【0151】
〔Ｅ〕その他
上述した一実施形態に係る技術は、以下のように変形、変更して実施することができる。
上述した一実施形態に係る技術は、以下のように変形、変更して実施することができる。
【0152】
例えば、図３に示すデータ管理システム１のサーバ２０が備える提供評価部２０Ａ（匿名性評価部２３及び匿名性条件統合部２４）、利用評価部２０Ｂ（利用価値判定部２７及び許容リスク別データ抽出部２８）、提供データ受信部２１、並びに、データ統合部２５は、任意の組み合わせで併合してもよく、それぞれ分割してもよい。
【0153】
また、図３に示すデータ管理システム１のサーバ２０は、複数の装置がネットワークを介して互いに連携することにより、各処理機能を実現する構成（システム）であってもよい。一例として、重複評価データＤＢ２２及びデータ管理ＤＢ２６はＤＢサーバ、提供データ受信部２１、匿名性評価部２３及び利用価値判定部２７はＷｅｂサーバ又はアプリケーションサーバ、匿名性条件統合部２４、データ統合部２５及び許容リスク別データ抽出部２８はアプリケーションサーバ等であってもよい。この場合、ＤＢサーバ、アプリケーションサーバ及びｗｅｂサーバが、ネットワークを介して互いに連携することにより、データ管理システム１のサーバ２０としての各処理機能を実現してもよい。
【0154】
〔Ｆ〕付記
以上の実施形態に関し、さらに以下の付記を開示する。
以上の実施形態に関し、さらに以下の付記を開示する。
【0155】
（付記１）
第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定し、
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
処理をコンピュータが実行する、制御方法。
第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定し、
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
処理をコンピュータが実行する、制御方法。
【0156】
（付記２）
前記第１条件は、同一の個人データの数に関する条件であり、
前記制御及び前記通知の少なくとも一方を行なう処理は、前記複数の個人データのうちの、前記第１の個人データと同一である個人データの数が、前記第１条件を満たす場合に、前記制御を行なう処理を含む、
付記１に記載の制御方法。
前記第１条件は、同一の個人データの数に関する条件であり、
前記制御及び前記通知の少なくとも一方を行なう処理は、前記複数の個人データのうちの、前記第１の個人データと同一である個人データの数が、前記第１条件を満たす場合に、前記制御を行なう処理を含む、
付記１に記載の制御方法。
【0157】
（付記３）
属性及び属性値を示す属性情報と匿名性に関する第２条件とを受け付けると、前記属性情報に応じた複数の個人データを前記データベースから抽出し、
抽出した前記複数の個人データのうちの前記第２条件を満たす個人データを出力する、
処理を前記コンピュータが実行する、付記１又は付記２に記載の制御方法。
属性及び属性値を示す属性情報と匿名性に関する第２条件とを受け付けると、前記属性情報に応じた複数の個人データを前記データベースから抽出し、
抽出した前記複数の個人データのうちの前記第２条件を満たす個人データを出力する、
処理を前記コンピュータが実行する、付記１又は付記２に記載の制御方法。
【0158】
（付記４）
前記出力する処理は、
前記抽出した複数の個人データの前記第１条件ごとの統計値を算出し、
前記統計値から得られる前記第１条件ごとの個人データの匿名性が前記第２条件を満たすときの個人データのうちの前記第１条件が最小である前記個人データを出力する、処理を含む、
付記３に記載の制御方法。
前記出力する処理は、
前記抽出した複数の個人データの前記第１条件ごとの統計値を算出し、
前記統計値から得られる前記第１条件ごとの個人データの匿名性が前記第２条件を満たすときの個人データのうちの前記第１条件が最小である前記個人データを出力する、処理を含む、
付記３に記載の制御方法。
【0159】
（付記５）
第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定し、
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
処理をコンピュータに実行させる、制御プログラム。
第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定し、
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
処理をコンピュータに実行させる、制御プログラム。
【0160】
（付記６）
前記第１条件は、同一の個人データの数に関する条件であり、
前記制御及び前記通知の少なくとも一方を行なう処理は、前記複数の個人データのうちの、前記第１の個人データと同一である個人データの数が、前記第１条件を満たす場合に、前記制御を行なう処理を含む、
付記５に記載の制御プログラム。
前記第１条件は、同一の個人データの数に関する条件であり、
前記制御及び前記通知の少なくとも一方を行なう処理は、前記複数の個人データのうちの、前記第１の個人データと同一である個人データの数が、前記第１条件を満たす場合に、前記制御を行なう処理を含む、
付記５に記載の制御プログラム。
【0161】
（付記７）
属性及び属性値を示す属性情報と匿名性に関する第２条件とを受け付けると、前記属性情報に応じた複数の個人データを前記データベースから抽出し、
抽出した前記複数の個人データのうちの前記第２条件を満たす個人データを出力する、
処理を前記コンピュータに実行させる、付記５又は付記６に記載の制御プログラム。
属性及び属性値を示す属性情報と匿名性に関する第２条件とを受け付けると、前記属性情報に応じた複数の個人データを前記データベースから抽出し、
抽出した前記複数の個人データのうちの前記第２条件を満たす個人データを出力する、
処理を前記コンピュータに実行させる、付記５又は付記６に記載の制御プログラム。
【0162】
（付記８）
前記出力する処理は、
前記抽出した複数の個人データの前記第１条件ごとの統計値を算出し、
前記統計値から得られる前記第１条件ごとの個人データの匿名性が前記第２条件を満たすときの個人データのうちの前記第１条件が最小である前記個人データを出力する、処理を含む、
付記７に記載の制御プログラム。
前記出力する処理は、
前記抽出した複数の個人データの前記第１条件ごとの統計値を算出し、
前記統計値から得られる前記第１条件ごとの個人データの匿名性が前記第２条件を満たすときの個人データのうちの前記第１条件が最小である前記個人データを出力する、処理を含む、
付記７に記載の制御プログラム。
【0163】
（付記９）
第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定し、
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
制御部を備える、情報処理装置。
第１の個人データと個人識別性に関する第１条件とを受け付けると、データベースに登録された個人データと前記第１の個人データとを含む複数の個人データにおける前記第１の個人データの個人識別性が前記第１条件を満たすか否かを判定し、
前記判定の結果に基づき、前記第１の個人データの前記データベースへの登録の制御、及び、前記判定の結果に応じた情報の通知、の少なくとも一方を行なう、
制御部を備える、情報処理装置。
【0164】
（付記１０）
前記第１条件は、同一の個人データの数に関する条件であり、
前記制御部は、前記制御及び前記通知の少なくとも一方を行なう処理において、前記複数の個人データのうちの、前記第１の個人データと同一である個人データの数が、前記第１条件を満たす場合に、前記制御を行なう、
付記９に記載の情報処理装置。
前記第１条件は、同一の個人データの数に関する条件であり、
前記制御部は、前記制御及び前記通知の少なくとも一方を行なう処理において、前記複数の個人データのうちの、前記第１の個人データと同一である個人データの数が、前記第１条件を満たす場合に、前記制御を行なう、
付記９に記載の情報処理装置。
【0165】
（付記１１）
前記制御部は、
属性及び属性値を示す属性情報と匿名性に関する第２条件とを受け付けると、前記属性情報に応じた複数の個人データを前記データベースから抽出し、
抽出した前記複数の個人データのうちの前記第２条件を満たす個人データを出力する、
付記９又は付記１０に記載の情報処理装置。
前記制御部は、
属性及び属性値を示す属性情報と匿名性に関する第２条件とを受け付けると、前記属性情報に応じた複数の個人データを前記データベースから抽出し、
抽出した前記複数の個人データのうちの前記第２条件を満たす個人データを出力する、
付記９又は付記１０に記載の情報処理装置。
【0166】
（付記１２）
前記制御部は、前記出力する処理において、
前記抽出した複数の個人データの前記第１条件ごとの統計値を算出し、
前記統計値から得られる前記第１条件ごとの個人データの匿名性が前記第２条件を満たすときの個人データのうちの前記第１条件が最小である前記個人データを出力する、
付記１１に記載の情報処理装置。
前記制御部は、前記出力する処理において、
前記抽出した複数の個人データの前記第１条件ごとの統計値を算出し、
前記統計値から得られる前記第１条件ごとの個人データの匿名性が前記第２条件を満たすときの個人データのうちの前記第１条件が最小である前記個人データを出力する、
付記１１に記載の情報処理装置。
【符号の説明】
【0167】
１ データ管理システム
１Ａ データ提供者
１Ｂ データ管理者
１Ｃ データ利用者
２ コンピュータ
１０、３０ 端末
１１ 提供者ＤＢ
１２ 提供データ
１３ データ提供条件
１４ 評価値
２０ サーバ
２０Ａ 提供評価部
２０Ｂ 利用評価部
２１ 提供データ受信部
２２ 重複評価データＤＢ
２３ 匿名性評価部
２４ 匿名性条件統合部
２５ データ統合部
２６ データ管理ＤＢ
２７ 利用価値判定部
２８ 許容リスク別データ抽出部
２９ 制御部
３１ データ利用条件
３２ 判定結果
３３ 利用者ＤＢ
３４ データ
１Ａ データ提供者
１Ｂ データ管理者
１Ｃ データ利用者
２ コンピュータ
１０、３０ 端末
１１ 提供者ＤＢ
１２ 提供データ
１３ データ提供条件
１４ 評価値
２０ サーバ
２０Ａ 提供評価部
２０Ｂ 利用評価部
２１ 提供データ受信部
２２ 重複評価データＤＢ
２３ 匿名性評価部
２４ 匿名性条件統合部
２５ データ統合部
２６ データ管理ＤＢ
２７ 利用価値判定部
２８ 許容リスク別データ抽出部
２９ 制御部
３１ データ利用条件
３２ 判定結果
３３ 利用者ＤＢ
３４ データ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】