ホーム > 特許ランキング > ミサワホーム株式会社
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2022-09-29
(45)【発行日】2022-10-07
(54)【発明の名称】匿名化システム
(51)【国際特許分類】
G06F 21/62 20130101AFI20220930BHJP
【ＦＩ】
G06F21/62 354
【請求項の数】
6
(21)【出願番号】P 2019142651
(22)【出願日】2019-08-02
(65)【公開番号】P2021026415
(43)【公開日】2021-02-22
【審査請求日】2021-07-28
(73)【特許権者】
【識別番号】307042385
【氏名又は名称】ミサワホーム株式会社
(74)【代理人】
【識別番号】100090033
【弁理士】
【氏名又は名称】荒船 博司
(72)【発明者】
【氏名】川上 隆士
【審査官】局 成矢
(56)【参考文献】
【文献】特開２０１８－１０９８３８（ＪＰ，Ａ）
【文献】国際公開第２０１４／０５００２７（ＷＯ，Ａ１）
【文献】特開２０１９－１２８９１６（ＪＰ，Ａ）
【文献】米国特許出願公開第２０１９／０２３６３１０（ＵＳ，Ａ１）
【文献】国際公開第２０１６／００２０８６（ＷＯ，Ａ１）
【文献】特開２０１７－０４１０４８（ＪＰ，Ａ）
【文献】特開２０１２－２４８０４０（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／６２
(57)【特許請求の範囲】
【請求項1】
外部のデータ収集元と接続され、当該データ収集元からデータを収集する収集手段と、収集した前記データの中に個人を特定可能な情報が含まれるか否かを判断する判断手段と、
前記判断手段による判断の基準となるリストと、
前記個人を特定可能な情報を、個人を特定不可能な情報に置換する置換手段と、
リスト追加手段と、を備えており、
前記リストには、前記個人を特定不可能な情報の候補が掲載されたホワイトリストと、前記個人を特定可能な情報の候補が掲載されたブラックリストと、が含まれており、
前記判断手段は、前記収集したデータと前記リスト内の情報とを照合し、前記ホワイトリストに掲載された候補のいずれかと一致する情報があるか、前記ブラックリストに掲載された候補のいずれかと一致する情報があるかを判断し、
前記置換手段は、前記収集したデータの中に前記ブラックリストに掲載された候補のいずれかと一致した情報がある場合に、当該情報を、前記個人を特定不可能な情報に置換し、
前記リスト追加手段は、前記収集したデータに含まれた情報が、前記ホワイトリストに掲載された候補及び前記ブラックリストに掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を、前記ホワイトリスト及び前記ブラックリストのいずれかの候補として追加掲載することを特徴とする匿名化システム。
【請求項2】
請求項１に記載の匿名化システムにおいて、前記収集したデータに含まれた情報が前記ブラックリストに掲載された候補のいずれかと一致し、かつ前記置換手段によって置換不可能の場合に、前記ブラックリストに掲載された候補のいずれかと一致する前記情報を削除する第一削除手段を更に備えることを特徴とする匿名化システム。
【請求項3】
請求項１又は２に記載の匿名化システムにおいて、前記収集したデータに含まれた情報が、前記ホワイトリストに掲載された候補及び前記ブラックリストに掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を削除する第二削除手段を更に備えることを特徴とする匿名化システム。
【請求項4】
請求項１～３のいずれか一項に記載の匿名化システムにおいて、前記収集したデータを記憶するためのデータベースを更に備えており、
前記データベースに記憶される前記データは、前記収集したデータに含まれた情報が前記判断手段によって前記ホワイトリストに掲載された候補のいずれかと一致すると判断されたデータと、前記収集したデータに含まれた情報が前記置換手段によって前記個人を特定不可能な情報に置換されたデータであることを特徴とする匿名化システム。
【請求項5】
請求項１～４のいずれか一項に記載の匿名化システムにおいて、前記データ収集元は、複数のユーザからデータを収集するために構築されたデータ収集ネットワークであることを特徴とする匿名化システム。
【請求項6】
請求項５に記載の匿名化システムにおいて、前記収集したデータの中には、前記複数のユーザによって任意に設定変更可能な情報が含まれ、当該任意に設定変更可能な情報が、前記判断手段による判断の対象となっていることを特徴とする匿名化システム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、匿名化システムに関する。
【背景技術】
【0002】
近年、情報通信技術の進展により、様々な分野において膨大な数の個人情報の収集及び分析が可能となっている。
例えば特許文献１には、住宅における消費電力量を、分岐する複数の回路ごとに計測できるようにし、その計測結果を、住宅内に設けられたエネルギー表示器でも、スマートフォンなどの携帯情報端末でも共通して表示できる機能を有したネットワークサービスシステムが開示されている。そして、当該システムでは、複数の回路ごとの計測結果をエネルギー表示器や携帯情報端末で表示するにあたって、ユーザが認識しやすいように、分岐する複数の回路ごとに任意の名称を付与できるようになっているが、サービスの提供者（管理者）も同一のデータを管理している。つまり、ユーザによって任意に名付けが行われたデータが、サービスの提供者によって収集及び分析可能となっている。
例えば特許文献１には、住宅における消費電力量を、分岐する複数の回路ごとに計測できるようにし、その計測結果を、住宅内に設けられたエネルギー表示器でも、スマートフォンなどの携帯情報端末でも共通して表示できる機能を有したネットワークサービスシステムが開示されている。そして、当該システムでは、複数の回路ごとの計測結果をエネルギー表示器や携帯情報端末で表示するにあたって、ユーザが認識しやすいように、分岐する複数の回路ごとに任意の名称を付与できるようになっているが、サービスの提供者（管理者）も同一のデータを管理している。つまり、ユーザによって任意に名付けが行われたデータが、サービスの提供者によって収集及び分析可能となっている。
【先行技術文献】
【特許文献】
【0003】
【文献】特開２０１２－２４８０４０号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
ところで、収集したデータの利活用をサービスの提供者が進めていく上で、収集したデータに個人を特定可能な情報（例えば上記の任意の名称）が含まれている場合には、個人情報保護の観点から匿名化処理を行う必要がある。しかしながら、収集されるデータの数は膨大であり、データの一つ一つに目を通して匿名化を適宜行うことは不可能であった。
【0005】
本発明は上記事情に鑑みてなされたものであり、収集したデータの匿名化処理を効率的かつ確実に行うことが可能な匿名化システムを提供することを目的とする。
【課題を解決するための手段】
【0006】
請求項１に記載の発明は、例えば図１～図６に示すように、データ収集元と接続され、当該データ収集元からデータを収集する収集手段（通信部１３）と、
収集した前記データの中に個人を特定可能な情報が含まれるか否かを判断する判断手段（判断プログラム１６１）と、
前記判断手段による判断の基準となるリスト１５１，１５２と、
前記個人を特定可能な情報を、個人を特定不可能な情報に置換する置換手段（置換プログラム１６３）と、
リスト追加手段（リスト追加プログラム１６５）と、を備えており、
前記リストには、前記個人を特定不可能な情報の候補が掲載されたホワイトリスト１５１と、前記個人を特定可能な情報の候補が掲載されたブラックリスト１５２と、が含まれており、
前記判断手段は、前記収集したデータと前記リスト１５１，１５２内の情報とを照合し、前記ホワイトリスト１５１に掲載された候補のいずれかと一致する情報があるか、前記ブラックリスト１５２に掲載された候補のいずれかと一致する情報があるかを判断し、
前記置換手段は、前記収集したデータの中に前記ブラックリスト１５２に掲載された候補のいずれかと一致した情報がある場合に、当該情報を、前記個人を特定不可能な情報に置換し、
前記リスト追加手段は、前記収集したデータに含まれた情報が、前記ホワイトリスト１５１に掲載された候補及び前記ブラックリスト１５２に掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を、前記ホワイトリスト１５１及び前記ブラックリスト１５２のいずれかの候補として追加掲載することを特徴とする。
収集した前記データの中に個人を特定可能な情報が含まれるか否かを判断する判断手段（判断プログラム１６１）と、
前記判断手段による判断の基準となるリスト１５１，１５２と、
前記個人を特定可能な情報を、個人を特定不可能な情報に置換する置換手段（置換プログラム１６３）と、
リスト追加手段（リスト追加プログラム１６５）と、を備えており、
前記リストには、前記個人を特定不可能な情報の候補が掲載されたホワイトリスト１５１と、前記個人を特定可能な情報の候補が掲載されたブラックリスト１５２と、が含まれており、
前記判断手段は、前記収集したデータと前記リスト１５１，１５２内の情報とを照合し、前記ホワイトリスト１５１に掲載された候補のいずれかと一致する情報があるか、前記ブラックリスト１５２に掲載された候補のいずれかと一致する情報があるかを判断し、
前記置換手段は、前記収集したデータの中に前記ブラックリスト１５２に掲載された候補のいずれかと一致した情報がある場合に、当該情報を、前記個人を特定不可能な情報に置換し、
前記リスト追加手段は、前記収集したデータに含まれた情報が、前記ホワイトリスト１５１に掲載された候補及び前記ブラックリスト１５２に掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を、前記ホワイトリスト１５１及び前記ブラックリスト１５２のいずれかの候補として追加掲載することを特徴とする。
【0007】
請求項１に記載の発明によれば、収集したデータの中に個人を特定可能な情報が含まれるか否かを判断する判断手段が、収集したデータとリスト１５１，１５２内の情報とを照合し、ホワイトリスト１５１に掲載された候補のいずれかと一致する情報があるか、ブラックリスト１５２に掲載された候補のいずれかと一致する情報があるかを判断するので、収集したデータの一つ一つに対して人の目を通さずに、収集したデータに含まれた情報が、ブラックリスト１５２に掲載された個人を特定可能な情報の候補に一致するか否かの判断を行うことができる。
さらに、収集したデータの中に、判断手段によってブラックリスト１５２に掲載された候補のいずれかと一致する情報があると判断された場合に、置換手段が、当該情報を、個人を特定不可能な情報に置換するので、収集したデータの一つ一つに対して人の目を通さずに匿名化処理を行うことができる。
したがって、収集したデータの匿名化処理を効率的かつ確実に行うことが可能となる。
また、収集したデータに含まれた情報が、ホワイトリスト１５１に掲載された候補及びブラックリスト１５２に掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を、リスト追加手段によって、ホワイトリスト１５１及びブラックリスト１５２のいずれかの候補として追加掲載できるので、以後の判断手段による判断の精度を高めることができる。
さらに、収集したデータの中に、判断手段によってブラックリスト１５２に掲載された候補のいずれかと一致する情報があると判断された場合に、置換手段が、当該情報を、個人を特定不可能な情報に置換するので、収集したデータの一つ一つに対して人の目を通さずに匿名化処理を行うことができる。
したがって、収集したデータの匿名化処理を効率的かつ確実に行うことが可能となる。
また、収集したデータに含まれた情報が、ホワイトリスト１５１に掲載された候補及びブラックリスト１５２に掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を、リスト追加手段によって、ホワイトリスト１５１及びブラックリスト１５２のいずれかの候補として追加掲載できるので、以後の判断手段による判断の精度を高めることができる。
【0008】
請求項２に記載の発明は、例えば図４，図５に示すように、請求項１に記載の匿名化システムにおいて、
前記収集したデータに含まれた情報が前記ブラックリスト１５２に掲載された候補のいずれかと一致し、かつ前記置換手段によって置換不可能の場合に、前記ブラックリスト１５２に掲載された候補のいずれかと一致する前記情報を削除する第一削除手段（第一削除プログラム１６４）を更に備えることを特徴とする。
前記収集したデータに含まれた情報が前記ブラックリスト１５２に掲載された候補のいずれかと一致し、かつ前記置換手段によって置換不可能の場合に、前記ブラックリスト１５２に掲載された候補のいずれかと一致する前記情報を削除する第一削除手段（第一削除プログラム１６４）を更に備えることを特徴とする。
【0009】
請求項２に記載の発明によれば、収集したデータの一つ一つに対して人の目を通さずに、ブラックリスト１５２に掲載された候補のいずれかと一致し、かつ置換手段によって置換不可能とされた情報を、第一削除手段によって削除できるので、全体的な処理の簡素化を図ることができ、匿名化処理の効率を上げることができる。
【0012】
請求項３に記載の発明は、例えば図４～図６に示すように、請求項１又は２に記載の匿名化システムにおいて、
前記収集したデータに含まれた情報が、前記ホワイトリスト１５１に掲載された候補及び前記ブラックリスト１５２に掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を削除する第二削除手段（第二削除プログラム１６６）を更に備えることを特徴とする。
前記収集したデータに含まれた情報が、前記ホワイトリスト１５１に掲載された候補及び前記ブラックリスト１５２に掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を削除する第二削除手段（第二削除プログラム１６６）を更に備えることを特徴とする。
【0013】
請求項３に記載の発明によれば、収集したデータに含まれた情報が、ホワイトリスト１５１に掲載された候補及びブラックリスト１５２に掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を、第二削除手段によって削除できるので、全体的な処理の簡素化を図ることができ、匿名化処理の効率を上げることができる。
【0014】
請求項４に記載の発明は、例えば図１，図４，図５に示すように、請求項１～３のいずれか一項に記載の匿名化システムにおいて、
前記収集したデータを記憶するためのデータベース２を更に備えており、
前記データベース２に記憶される前記データは、前記収集したデータに含まれた情報が前記判断手段によって前記ホワイトリスト１５１に掲載された候補のいずれかと一致すると判断されたデータと、前記収集したデータに含まれた情報が前記置換手段によって前記個人を特定不可能な情報に置換されたデータであることを特徴とする。
前記収集したデータを記憶するためのデータベース２を更に備えており、
前記データベース２に記憶される前記データは、前記収集したデータに含まれた情報が前記判断手段によって前記ホワイトリスト１５１に掲載された候補のいずれかと一致すると判断されたデータと、前記収集したデータに含まれた情報が前記置換手段によって前記個人を特定不可能な情報に置換されたデータであることを特徴とする。
【0015】
請求項４に記載の発明によれば、データベース２に対し、収集したデータに含まれた情報が判断手段によってホワイトリスト１５１に掲載された候補のいずれかと一致すると判断されたデータと、収集したデータに含まれた情報が置換手段によって個人を特定不可能な情報に置換されたデータと、を記憶できるので、膨大な数のデータを収集及び分析することが可能となり、収集したデータを利活用しやすい。
【0016】
請求項５に記載の発明は、例えば図１，図２に示すように、請求項１～４のいずれか一項に記載の匿名化システムにおいて、
前記データ収集元は、複数のユーザからデータを収集するために構築されたデータ収集ネットワークであることを特徴とする。
前記データ収集元は、複数のユーザからデータを収集するために構築されたデータ収集ネットワークであることを特徴とする。
【0017】
請求項５に記載の発明によれば、データ収集元は、複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）からデータを収集するために構築されたデータ収集ネットワークであるため、複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）からデータを収集することができる。これにより、膨大な数のデータを収集することが可能となる。
【0018】
請求項６に記載の発明は、例えば図１～図４に示すように、請求項５に記載の匿名化システムにおいて、
前記収集したデータの中には、前記複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）によって任意に設定変更可能な情報が含まれ、当該任意に設定変更可能な情報が、前記判断手段による判断の対象となっていることを特徴とする。
前記収集したデータの中には、前記複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）によって任意に設定変更可能な情報が含まれ、当該任意に設定変更可能な情報が、前記判断手段による判断の対象となっていることを特徴とする。
【0019】
請求項６に記載の発明によれば、収集したデータの中には、複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）によって任意に設定変更可能な情報が含まれ、当該任意に設定変更可能な情報が、判断手段による判断の対象となっているので、複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）によって任意に設定変更された情報でも、ブラックリスト１５２に掲載された個人を特定可能な情報の候補に一致するか否かの判断を容易に行うことができる。
【発明の効果】
【0020】
本発明によれば、収集したデータの匿名化処理を効率的かつ確実に行うことができる。
【図面の簡単な説明】
【0021】
【図1】匿名化システムを含むデータ収集ネットワークの概要を示す図である。
【図2】匿名化システムと接続されたネットワークサービスの構成を示すブロック図である。
【図3】住宅の消費電力における計測データの一例を示す図である。
【図4】匿名化システムの構成を示すブロック図である。
【図5】匿名化処理の流れを示すフローチャートである。
【図6】匿名化処理の流れを示すフローチャートである。
【発明を実施するための形態】
【0022】
以下、図面を参照して本発明の実施の形態について説明する。ただし、以下に述べる実施形態には、本発明を実施するために技術的に好ましい種々の限定が付されているが、本発明の技術的範囲を以下の実施形態及び図示例に限定するものではない。
【0023】
図１はデータ収集ネットワークの概要を示しており、符号１は、本実施形態における匿名化システムを構成する演算処理装置を示す。また、符号２は、同じく匿名化システムを構成するデータベースを示しており、これら演算処理装置１とデータベース２は互いにデータ通信可能に接続されている。また、データ収集ネットワークには、データ収集に同意する多数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）が組み込まれており、本実施形態における匿名化システムは、通信ネットワークＮを介してユーザＵが使用する通信機器（後述するエネルギー表示器３ａ，４ａ，５ａ及び携帯情報端末３ｂ，４ｂ，５ｂ）とデータ通信可能に接続されている。つまり、データ収集ネットワークは、匿名化システムにおけるデータ収集元である。
【0024】
ユーザＵは、サービス提供者が提供するサービスを受ける人である。データ収集ネットワークは、サービス提供者又はサービス提供者から委託された業者によって構築されたデータ収集用のネットワークであり、ユーザＵから、サービスに係る情報が含まれたデータを収集する。収集したデータはデータベース２に記憶され、サービス提供者によって利活用される。すなわち、ビッグデータとして用いることができる。
【0025】
なお、通信ネットワークＮは、電話回線網、ＩＳＤＮ回線網、光ファイバー、移動体通信網、通信衛星回線、ＣＡＴＶ回線網、その他の専用線等の各種通信回線網と、それらを接続するインターネットサービスプロバイダ（すなわち、インターネット）等を含んでいてもよい。また、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）、ＷｉＦｉ（Wireless Fidelity）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＮＦＣ（Near Field Communication）等の様々な通信網が互いに通信可能に接続された集合的な通信網であってもよい。また、接続の形態について、有線、無線及び有線と無線の混在を問わない。
【0026】
匿名化システムは、データ収集ネットワークに組み込まれ、サービス提供者又はサービス提供者から委託された業者によって管理されている（以下、管理者によって管理されているものとする）。そして、匿名化システムは、収集したデータに個人を特定可能な情報が含まれる場合に、その情報の匿名化処理を行う。
【0027】
サービス提供者が提供するサービスは、本実施形態においては、図１～図３に示すように、各ユーザＵが居住する住宅３（４，５）における消費電力量（太陽光発電装置ＰＶによる発電量も含むものとする。）を、分岐する複数の回路ごとに計測できるようにし、その計測結果を、住宅３（４，５）内に設けられたエネルギー表示器３ａ（４ａ，５ａ）でも、ユーザＵが使用するスマートフォンなどの携帯情報端末３ｂ（４ｂ，５ｂ）でも共通して表示できる機能を有したネットワークサービスである。つまり、各住宅３（４，５）には、複数の回路ごとの消費電力を計測する計測部３ｃ（４ｃ，５ｃ）が設けられ、計測部３ｃ（４ｃ，５ｃ）で計測されたデータＭＤが、計測データ記憶部に記憶される。当該計測データ記憶部は、住宅３（４，５）内又は住宅３（４，５）外に設けられたサービス用演算処理装置（図２のホームゲートウェイ装置ＨＧＷやセンターサーバー６を指す。）が有している。そして、計測されたデータＭＤが計測データ記憶部に記憶される際に、計測部３ｃ（４ｃ，５ｃ）ごとにデータ項目名称ＤＩＮが付与され、当該データ項目名称ＤＩＮごとにデータＭＤが記憶される。
当該サービスでは、複数の回路ごとの計測結果をエネルギー表示器３ａ（４ａ，５ａ）や携帯情報端末３ｂ（４ｂ，５ｂ）で表示するにあたって、ユーザＵが認識しやすいように、分岐する複数の回路ごとに任意の名称を付与できるようになっている。これを実現するために、エネルギー表示器３ａ（４ａ，５ａ）や携帯情報端末３ｂ（４ｂ，５ｂ）には、図示しない名称付与入力部（タッチパネル、各種入力ボタン等）が備えられている。名称付与入力部から名称の付与が入力されると、サービス用演算処理装置が有する制御部によって、データ項目名称ＤＩＮが任意の名称に変更される制御が実行される。つまり、ユーザＵによって任意に名付けが行われ、サービス提供者は、それを一つの情報として取り扱うことができるようになっている。要するに、サービス提供者は、ユーザＵによって任意に設定変更可能な情報（分岐する複数の回路ごとに付与された任意の名称）が含まれたデータの収集及び分析が可能となっている。
なお、図３は、一つの住宅（例えば住宅３）での所定の時間ごとに計測された複数の回路ごとの計測結果（データＤＭ）が、データ項目名称ＤＩＮごとに表示されたことを表す図である。本実施形態においては、名称付与入力部からの入力によって、「全体使用」「全体売電」・・・「子供部屋」・・・と設定されているデータ項目名称ＤＩＮを、ユーザＵが任意で変更できることになる。サービス提供者は、このように名称が付与されたデータを収集する。
当該サービスでは、複数の回路ごとの計測結果をエネルギー表示器３ａ（４ａ，５ａ）や携帯情報端末３ｂ（４ｂ，５ｂ）で表示するにあたって、ユーザＵが認識しやすいように、分岐する複数の回路ごとに任意の名称を付与できるようになっている。これを実現するために、エネルギー表示器３ａ（４ａ，５ａ）や携帯情報端末３ｂ（４ｂ，５ｂ）には、図示しない名称付与入力部（タッチパネル、各種入力ボタン等）が備えられている。名称付与入力部から名称の付与が入力されると、サービス用演算処理装置が有する制御部によって、データ項目名称ＤＩＮが任意の名称に変更される制御が実行される。つまり、ユーザＵによって任意に名付けが行われ、サービス提供者は、それを一つの情報として取り扱うことができるようになっている。要するに、サービス提供者は、ユーザＵによって任意に設定変更可能な情報（分岐する複数の回路ごとに付与された任意の名称）が含まれたデータの収集及び分析が可能となっている。
なお、図３は、一つの住宅（例えば住宅３）での所定の時間ごとに計測された複数の回路ごとの計測結果（データＤＭ）が、データ項目名称ＤＩＮごとに表示されたことを表す図である。本実施形態においては、名称付与入力部からの入力によって、「全体使用」「全体売電」・・・「子供部屋」・・・と設定されているデータ項目名称ＤＩＮを、ユーザＵが任意で変更できることになる。サービス提供者は、このように名称が付与されたデータを収集する。
【0028】
なお、データ収集ネットワークによってユーザＵから収集するデータはいくつでもよいし、ユーザＵから収集するデータには、ユーザによって任意に設定変更可能な情報が少なくとも含まれるものとし、サービス提供者が提供するサービスに係るその他の情報が含まれてもよい。
また、匿名化システムによって匿名化されるべき情報が含まれるデータと、例えばユーザＵを特定するための情報（例えばアカウント情報など）が含まれるデータは、別々に取り扱われることが望ましい。
さらに、匿名化システムによって匿名化されるべき情報が含まれるデータであっても、データベース２におけるデータの整理に必要な情報であれば、その情報を、匿名化システムによって匿名化されるべき情報が含まれるデータに適宜紐づけしてもよい。
また、匿名化システムによって匿名化されるべき情報が含まれるデータと、例えばユーザＵを特定するための情報（例えばアカウント情報など）が含まれるデータは、別々に取り扱われることが望ましい。
さらに、匿名化システムによって匿名化されるべき情報が含まれるデータであっても、データベース２におけるデータの整理に必要な情報であれば、その情報を、匿名化システムによって匿名化されるべき情報が含まれるデータに適宜紐づけしてもよい。
【0029】
本実施形態の匿名化システムを構成する演算処理装置１は、図４に示すように、制御部１０と、入力部１１と、表示部１２と、通信部１３と、記憶部１４を有するコンピューターである。例えば、携帯電話機（例えば、スマートフォン、フィーチャーフォン）、ＰＤＡ（Personal Digital Assistant）、デスクトップ型パーソナルコンピューター、ラップトップ型パーソナルコンピューター（ノート型パーソナルコンピューター）、パームトップ型パーソナルコンピューター、タブレット型パーソナルコンピューター等である。
【0030】
制御部１０は、記憶部１４内に格納されている制御用プログラム１６１～１６６に基づいて記憶部１４等を含む演算処理装置１全体の制御を行う。より具体的に説明すると、制御部１０は、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）を備え、当該制御部１０による制御に基づいて、匿名化システムを構成する各種手段を実行することができる。すなわち、記憶部１４に記憶された各種の制御用プログラム１６１～１６６を実行することができる。
【0031】
入力部１１は、匿名化システムに対して各種指示を入力するためのものである。より具体的に説明すると、文字、数値等を入力するためのデータ入力キーや、データの選択、上下左右移動キー、各種機能キー等を適宜備える。また、マウスやキーボード等の入力装置が適宜採用される。制御部１０は、入力部１１から入力された信号に従って所定の動作を各部に実行させることができる。
【0032】
表示部１２は、演算処理装置１における表示装置であり、例えば液晶ディスプレイや有機ＥＬ表示パネル等が採用される。本実施形態における表示部１２は、制御部１０による表示制御信号に基づいて表示面に表示画面を表示する。
【0033】
通信部１３は、制御部１０からの通信信号を受け入れ、通信ネットワークＮにこの通信信号を送出する。また、通信部１３は、通信ネットワークＮからの通信信号を受け入れ、制御部１０にこの通信信号を出力する。
この通信部１３は、データベース２を含む匿名化システムを、データ収集ネットワークに接続する役割を担い、ユーザＵが使用する通信機器、すなわちエネルギー表示器３ａ，４ａ，５ａ及び携帯情報端末３ｂ，４ｂ，５ｂから送信されたデータを収集する収集手段として機能する。
なお、データ収集（データ送信）のタイミングは、エネルギー表示器３ａ，４ａ，５ａ及び携帯情報端末３ｂ，４ｂ，５ｂに組み込まれたプログラムに基づくものでもよいし、エネルギー表示器３ａ，４ａ，５ａ及び携帯情報端末３ｂ，４ｂ，５ｂに対してデータ送信の実行を指示する信号を送信するプログラムを演算処理装置１に採用してもよい。
この通信部１３は、データベース２を含む匿名化システムを、データ収集ネットワークに接続する役割を担い、ユーザＵが使用する通信機器、すなわちエネルギー表示器３ａ，４ａ，５ａ及び携帯情報端末３ｂ，４ｂ，５ｂから送信されたデータを収集する収集手段として機能する。
なお、データ収集（データ送信）のタイミングは、エネルギー表示器３ａ，４ａ，５ａ及び携帯情報端末３ｂ，４ｂ，５ｂに組み込まれたプログラムに基づくものでもよいし、エネルギー表示器３ａ，４ａ，５ａ及び携帯情報端末３ｂ，４ｂ，５ｂに対してデータ送信の実行を指示する信号を送信するプログラムを演算処理装置１に採用してもよい。
【0034】
記憶部１４は、例えば、ＨＤＤ（Hard Disc Drive）やフラッシュメモリー等の大容量記憶媒体によって構成されており、匿名化システムにおける各部の動作に必要な各種データ１５１，１５２や各種の制御用プログラム１６１～１６６を記憶している。
匿名化システムに必要な各種データとしては、ホワイトリストデータ１５１、ブラックリストデータ１５２が挙げられる。これらのデータ１５１，１５２は、記憶部１４内のデータ記憶部１５に記憶されている。
匿名化システムに必要な各種の制御用プログラムとしては、判断プログラム１６１、通知プログラム１６２、置換プログラム１６３、第一削除プログラム１６４、リスト追加プログラム１６５、第二削除プログラム１６６が挙げられる。これらのプログラム１６１～１６６は、記憶部１４内のプログラム記憶部１６に記憶されている。
匿名化システムに必要な各種データとしては、ホワイトリストデータ１５１、ブラックリストデータ１５２が挙げられる。これらのデータ１５１，１５２は、記憶部１４内のデータ記憶部１５に記憶されている。
匿名化システムに必要な各種の制御用プログラムとしては、判断プログラム１６１、通知プログラム１６２、置換プログラム１６３、第一削除プログラム１６４、リスト追加プログラム１６５、第二削除プログラム１６６が挙げられる。これらのプログラム１６１～１６６は、記憶部１４内のプログラム記憶部１６に記憶されている。
【0035】
ホワイトリストデータ１５１（ホワイトリスト１５１）は、個人を特定不可能な情報の候補が掲載されたものであり、制御部１０が判断プログラム１６１を実行し、収集したデータに個人を特定可能な情報が含まれるか否かを判断する際の判断基準となる。本実施形態におけるホワイトリストデータ１５１は、上記のネットワークサービスにおいて、ユーザＵによって任意に変更することが可能な複数の回路の名称として、個人を特定不可能な情報の候補が掲載されたものである。
このようなホワイトリストデータ１５１に掲載された、個人を特定不可能な情報の候補としては、例えば、「全体使用」、「全体売電」、「全体買電」、「洋室」、「和室」、「台所」、「居間」、「浴室」、「洗面所」、「食堂」、「ホール」、「トイレ」、「納戸」、「洋室テレビ」、「和室テレビ」、「洋室エアコン」、「和室エアコン」、「食堂エアコン」、「居間照明器具」、「台所照明器具」、「食堂照明器具」、「台所冷蔵庫」、「ＩＨコンロ」、「エアコン」、「床暖房」、「トイレ洗浄暖房便座」、「トイレコンセント」、「充電」、「放電」、「電気自動車」、「その他」等、が挙げられる。すなわち、情報として一般化し得るものが候補となっている。ホワイトリストデータ１５１に掲載された候補には、いずれも個人を特定し得る情報は含まれておらず、ビッグデータとして取り扱いやすい。
なお、ホワイトリストデータ１５１に掲載された、個人を特定不可能な情報の候補は、以上のものに限られるものではない。
このようなホワイトリストデータ１５１に掲載された、個人を特定不可能な情報の候補としては、例えば、「全体使用」、「全体売電」、「全体買電」、「洋室」、「和室」、「台所」、「居間」、「浴室」、「洗面所」、「食堂」、「ホール」、「トイレ」、「納戸」、「洋室テレビ」、「和室テレビ」、「洋室エアコン」、「和室エアコン」、「食堂エアコン」、「居間照明器具」、「台所照明器具」、「食堂照明器具」、「台所冷蔵庫」、「ＩＨコンロ」、「エアコン」、「床暖房」、「トイレ洗浄暖房便座」、「トイレコンセント」、「充電」、「放電」、「電気自動車」、「その他」等、が挙げられる。すなわち、情報として一般化し得るものが候補となっている。ホワイトリストデータ１５１に掲載された候補には、いずれも個人を特定し得る情報は含まれておらず、ビッグデータとして取り扱いやすい。
なお、ホワイトリストデータ１５１に掲載された、個人を特定不可能な情報の候補は、以上のものに限られるものではない。
【0036】
ブラックリストデータ１５２（ブラックリスト１５２）は、個人を特定可能な情報の候補が掲載されたものであり、制御部１０が判断プログラム１６１を実行し、収集したデータに個人を特定可能な情報が含まれるか否かを判断する際の判断基準となる。本実施形態におけるブラックリストデータ１５２は、上記のネットワークサービスにおいて、ユーザＵによって任意に変更することが可能な複数の回路の名称として、個人を特定可能な情報の候補が掲載されたものである。
このようなブラックリストデータ１５２に掲載された、個人を特定可能な情報の候補としては、例えば、「子供部屋」、「子供室」、「２階洋室」、「２階和室」、「３階洋室」、「３階和室」、「寝室」、「居間１，２階」、「子供部屋テレビ」、「寝室テレビ」、「子供部屋エアコン」、「寝室エアコン」、「１階洋室」「名前（例えば太郎、花子等）」、「苗字（例えば佐藤、鈴木等）」、「呼称（例えば父、母、パパ、ママ等）」、「北側洋室」、「南側和室」、「遊び部屋」、「専用機器」、「井戸」等、が挙げられる。また、例えば「太郎部屋」や「パパ部屋」等のように、「名前＋部屋」や「呼称＋部屋」のように組み合わされたパターンも挙げられる。すなわち、子供の有無、住宅の階層、方角、ユーザＵの苗字・名前、ユーザＵの呼称（呼び名）、用途のわかるもの、上記の井戸のような特殊なもの等が候補となっている。ブラックリストデータ１５２に掲載された候補には、いずれも個人を特定し得る情報が含まれており、ビッグデータとしては取り扱えない。
なお、ブラックリストデータ１５２に掲載された、個人を特定可能な情報の候補は、以上のものに限られるものではない。
このようなブラックリストデータ１５２に掲載された、個人を特定可能な情報の候補としては、例えば、「子供部屋」、「子供室」、「２階洋室」、「２階和室」、「３階洋室」、「３階和室」、「寝室」、「居間１，２階」、「子供部屋テレビ」、「寝室テレビ」、「子供部屋エアコン」、「寝室エアコン」、「１階洋室」「名前（例えば太郎、花子等）」、「苗字（例えば佐藤、鈴木等）」、「呼称（例えば父、母、パパ、ママ等）」、「北側洋室」、「南側和室」、「遊び部屋」、「専用機器」、「井戸」等、が挙げられる。また、例えば「太郎部屋」や「パパ部屋」等のように、「名前＋部屋」や「呼称＋部屋」のように組み合わされたパターンも挙げられる。すなわち、子供の有無、住宅の階層、方角、ユーザＵの苗字・名前、ユーザＵの呼称（呼び名）、用途のわかるもの、上記の井戸のような特殊なもの等が候補となっている。ブラックリストデータ１５２に掲載された候補には、いずれも個人を特定し得る情報が含まれており、ビッグデータとしては取り扱えない。
なお、ブラックリストデータ１５２に掲載された、個人を特定可能な情報の候補は、以上のものに限られるものではない。
【0037】
判断プログラム１６１は、収集したデータの中に個人を特定可能な情報が含まれるか否かを判断するためのプログラムである。
より詳細に説明すると、判断プログラム１６１は制御部１０によって実行され、これにより、収集したデータ（に含まれた任意に設定変更可能な情報）とリスト（ホワイトリストデータ１５１、ブラックリストデータ１５２）内の情報とを照合し、ホワイトリストデータに掲載された候補のいずれかと一致する情報があるか、ブラックリストに掲載された候補のいずれかと一致する情報があるかを判断する。
すなわち、判断プログラム１６１は、制御部１０との協働により判断手段として機能することになる。
なお、判断手段によって、収集したデータに含まれた任意に設定変更可能な情報とリスト（ホワイトリストデータ１５１、ブラックリストデータ１５２）内の情報とを照合した結果、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストに掲載された候補のいずれかと一致すると判断された場合、そのデータはデータベース２に送信されて記憶される。
より詳細に説明すると、判断プログラム１６１は制御部１０によって実行され、これにより、収集したデータ（に含まれた任意に設定変更可能な情報）とリスト（ホワイトリストデータ１５１、ブラックリストデータ１５２）内の情報とを照合し、ホワイトリストデータに掲載された候補のいずれかと一致する情報があるか、ブラックリストに掲載された候補のいずれかと一致する情報があるかを判断する。
すなわち、判断プログラム１６１は、制御部１０との協働により判断手段として機能することになる。
なお、判断手段によって、収集したデータに含まれた任意に設定変更可能な情報とリスト（ホワイトリストデータ１５１、ブラックリストデータ１５２）内の情報とを照合した結果、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストに掲載された候補のいずれかと一致すると判断された場合、そのデータはデータベース２に送信されて記憶される。
【0038】
通知プログラム１６２は、判断手段によって、収集したデータに含まれた任意に設定変更可能な情報とリスト（ホワイトリストデータ１５１、ブラックリストデータ１５２）内の情報とを照合した際に、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１にも、ブラックリストデータ１５２にも掲載されていなかった場合に、その旨を管理者に通知するためのプログラムである。
管理者が匿名化システムの管理に使用する情報端末が、演算処理装置１そのものである場合は、通知プログラム１６２が制御部１０によって実行されることで、通知を表示部１２に表示させることができる。演算処理装置１が音声出力部を備える場合は、その音声出力部から通知音を発するようにしてもよい。
管理者が、通信ネットワークＮを介して演算処理装置１とデータ通信可能に接続された情報端末（図示省略）を日常的に使用し、その情報端末が通知の送信先として予め演算処理装置１に登録されていれば、当該情報端末に通知を送信することができる。
すなわち、通知プログラム１６２は、制御部１０との協働により通知手段として機能することになる。
管理者が匿名化システムの管理に使用する情報端末が、演算処理装置１そのものである場合は、通知プログラム１６２が制御部１０によって実行されることで、通知を表示部１２に表示させることができる。演算処理装置１が音声出力部を備える場合は、その音声出力部から通知音を発するようにしてもよい。
管理者が、通信ネットワークＮを介して演算処理装置１とデータ通信可能に接続された情報端末（図示省略）を日常的に使用し、その情報端末が通知の送信先として予め演算処理装置１に登録されていれば、当該情報端末に通知を送信することができる。
すなわち、通知プログラム１６２は、制御部１０との協働により通知手段として機能することになる。
【0039】
置換プログラム１６３は、判断手段によって、収集したデータとリスト（ホワイトリストデータ１５１、ブラックリストデータ１５２）内の情報とを照合した結果、収集したデータの中に、ブラックリストデータ１５２に掲載された候補のいずれかと一致した情報（ユーザＵによって任意に設定変更可能な情報）がある場合に、当該情報を、個人を特定不可能な情報に置換するためのプログラムである。
より詳細に説明すると、置換プログラム１６３は制御部１０によって実行され、これにより、個人を特定可能な情報である任意に設定変更可能な情報を、個人を特定不可能な情報に置換する。
具体的には、例えば「子供部屋」や「子供室」の場合は、子供の有無を秘匿する必要があるため、「洋室」や「和室」等に置換される。「寝室」や「遊び部屋」等のように用途を示す場合にも「洋室」や「和室」等に置換される。「２階洋室」や「３階洋室」の場合は、住宅の階層を無用に表す必要がないため、「洋室」や「和室」等に置換される。「北側洋室」や「南側和室」の場合も、住宅の方角を無用に表す必要がないため、「洋室」や「和室」等に置換される。「名前＋部屋」や「呼称＋部屋」のような組み合わせのパターンの場合は、「名前」や「呼称」を秘匿する必要があるため、「洋室」や「和室」等に置換される。「井戸」のような特殊な場合は「その他」に置換される。「名前」のみ、「呼称」のみの場合は、「名前」や「呼称」を秘匿する必要があるとともに、部屋であるかも不明であるため、置換不可能な情報として扱われる。
すなわち、このような置換プログラム１６３は、制御部１０との協働により置換手段として機能することになる。そして、個人を特定可能な情報である任意に設定変更可能な情報が、個人を特定不可能な情報に置換されたデータは、データベース２に送信されて記憶される。
より詳細に説明すると、置換プログラム１６３は制御部１０によって実行され、これにより、個人を特定可能な情報である任意に設定変更可能な情報を、個人を特定不可能な情報に置換する。
具体的には、例えば「子供部屋」や「子供室」の場合は、子供の有無を秘匿する必要があるため、「洋室」や「和室」等に置換される。「寝室」や「遊び部屋」等のように用途を示す場合にも「洋室」や「和室」等に置換される。「２階洋室」や「３階洋室」の場合は、住宅の階層を無用に表す必要がないため、「洋室」や「和室」等に置換される。「北側洋室」や「南側和室」の場合も、住宅の方角を無用に表す必要がないため、「洋室」や「和室」等に置換される。「名前＋部屋」や「呼称＋部屋」のような組み合わせのパターンの場合は、「名前」や「呼称」を秘匿する必要があるため、「洋室」や「和室」等に置換される。「井戸」のような特殊な場合は「その他」に置換される。「名前」のみ、「呼称」のみの場合は、「名前」や「呼称」を秘匿する必要があるとともに、部屋であるかも不明であるため、置換不可能な情報として扱われる。
すなわち、このような置換プログラム１６３は、制御部１０との協働により置換手段として機能することになる。そして、個人を特定可能な情報である任意に設定変更可能な情報が、個人を特定不可能な情報に置換されたデータは、データベース２に送信されて記憶される。
【0040】
第一削除プログラム１６４は、判断手段によって、収集したデータに含まれた任意に設定変更可能な情報とリスト（ホワイトリストデータ１５１、ブラックリストデータ１５２）内の情報とを照合した結果、収集したデータに含まれた任意に設定変更可能な情報が、ブラックリストデータ１５２に掲載された候補のいずれかと一致し、かつ置換手段によって置換不可能の場合に、収集したデータに含まれた任意に設定変更可能な情報を削除するためのプログラムである。
より詳細に説明すると、第一削除プログラム１６４は制御部１０によって実行され、これにより、収集したデータに含まれた任意に設定変更可能な情報が、ブラックリストデータ１５２に掲載された候補のいずれかと一致し、かつ置換手段によって置換不可能な情報を削除する。具体的には、上記のように、「名前」のみ、「呼称」のみの場合は置換不可能な情報として扱われるため、それらの情報は削除される。
すなわち、第一削除プログラム１６４は、制御部１０との協働により第一削除手段として機能することになる。
より詳細に説明すると、第一削除プログラム１６４は制御部１０によって実行され、これにより、収集したデータに含まれた任意に設定変更可能な情報が、ブラックリストデータ１５２に掲載された候補のいずれかと一致し、かつ置換手段によって置換不可能な情報を削除する。具体的には、上記のように、「名前」のみ、「呼称」のみの場合は置換不可能な情報として扱われるため、それらの情報は削除される。
すなわち、第一削除プログラム１６４は、制御部１０との協働により第一削除手段として機能することになる。
【0041】
リスト追加プログラム１６５は、判断手段によって、収集したデータに含まれた任意に設定変更可能な情報とリスト（ホワイトリストデータ１５１、ブラックリストデータ１５２）内の情報とを照合した結果、ホワイトリストデータ１５１に掲載された候補及びブラックリストデータ１５２に掲載された候補のいずれにも一致しない場合に、当該任意に設定変更可能な情報を、ホワイトリストデータ１５１及びブラックリストデータ１５２のいずれかの候補として追加掲載するためのプログラムである（図６参照）。
より詳細に説明すると、リスト追加プログラム１６５は制御部１０によって実行され、これにより、演算処理装置１における表示部１２に、ホワイトリストデータ１５１に掲載された候補及びブラックリストデータ１５２に掲載された候補のいずれにも一致しない上記の任意に設定変更可能な情報が、匿名化を要するか否かを管理者に選択させる画面を表示する。管理者が、当該情報が匿名化を要すると判断した場合には、リスト追加プログラム１６５は、後述する次の画面へと移行する。一方、当該情報が匿名化を必要としない場合には、リスト追加プログラム１６５は、当該情報を、個人を特定不可能な情報の候補としてホワイトリストデータ１５１に追加掲載する。
また、リスト追加プログラム１６５は、管理者によって匿名化を要すると判断された場合に、当該匿名化を要する情報が、一般化が可能であるか否かを管理者に選択させる画面（上記の次の画面を指す）を表示する。管理者が、当該情報が一般化が可能であると判断した場合には、リスト追加プログラム１６５は、当該情報を、個人を特定可能な情報の候補としてブラックリストデータ１５２に追加掲載する。
なお、このようなリスト追加プログラム１６５は、通知プログラム１６２による通知手段の動作後に制御部１０によって実行される。
すなわち、リスト追加プログラム１６５は、制御部１０との協働によりリスト追加手段として機能することになる。
より詳細に説明すると、リスト追加プログラム１６５は制御部１０によって実行され、これにより、演算処理装置１における表示部１２に、ホワイトリストデータ１５１に掲載された候補及びブラックリストデータ１５２に掲載された候補のいずれにも一致しない上記の任意に設定変更可能な情報が、匿名化を要するか否かを管理者に選択させる画面を表示する。管理者が、当該情報が匿名化を要すると判断した場合には、リスト追加プログラム１６５は、後述する次の画面へと移行する。一方、当該情報が匿名化を必要としない場合には、リスト追加プログラム１６５は、当該情報を、個人を特定不可能な情報の候補としてホワイトリストデータ１５１に追加掲載する。
また、リスト追加プログラム１６５は、管理者によって匿名化を要すると判断された場合に、当該匿名化を要する情報が、一般化が可能であるか否かを管理者に選択させる画面（上記の次の画面を指す）を表示する。管理者が、当該情報が一般化が可能であると判断した場合には、リスト追加プログラム１６５は、当該情報を、個人を特定可能な情報の候補としてブラックリストデータ１５２に追加掲載する。
なお、このようなリスト追加プログラム１６５は、通知プログラム１６２による通知手段の動作後に制御部１０によって実行される。
すなわち、リスト追加プログラム１６５は、制御部１０との協働によりリスト追加手段として機能することになる。
【0042】
第二削除プログラム１６６は、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１に掲載された候補及びブラックリストデータ１５２に掲載された候補のいずれにも一致しない場合に、当該任意に設定変更可能な情報を削除するためのプログラムである（図６参照）。
より詳細に説明すると、第二削除プログラム１６６は制御部１０によって実行され、これにより、ホワイトリストデータ１５１に掲載された候補及びブラックリストデータ１５２に掲載された候補のいずれにも一致しない任意に設定変更可能な情報を削除する。
なお、本実施形態における第二削除プログラム１６６は、リスト追加プログラム１６５によるリスト追加手段の動作後に制御部１０によって実行され、管理者によって匿名化を要すると判断された情報が、更に管理者によって一般化が不可能であると判断された場合に、当該情報を削除する。
すなわち、第二削除プログラム１６６は、制御部１０との協働により第二削除手段として機能することになる。
より詳細に説明すると、第二削除プログラム１６６は制御部１０によって実行され、これにより、ホワイトリストデータ１５１に掲載された候補及びブラックリストデータ１５２に掲載された候補のいずれにも一致しない任意に設定変更可能な情報を削除する。
なお、本実施形態における第二削除プログラム１６６は、リスト追加プログラム１６５によるリスト追加手段の動作後に制御部１０によって実行され、管理者によって匿名化を要すると判断された情報が、更に管理者によって一般化が不可能であると判断された場合に、当該情報を削除する。
すなわち、第二削除プログラム１６６は、制御部１０との協働により第二削除手段として機能することになる。
【0043】
ただし、第二削除プログラム１６６の構成は、上記に限られるものではなく、通知プログラム１６２による通知手段の動作後に制御部１０によって実行され、上記のリスト追加手段によるリスト追加掲載の手順を踏まずに、ホワイトリストデータ１５１に掲載された候補及びブラックリストデータ１５２に掲載された候補のいずれにも一致しない任意に設定変更可能な情報を削除してもよい（すなわち、後述するステップＳ１又はＳ２から、ステップＳ１２まで直接進んでもよい。）。この場合の通知プログラム１６２による通知は、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１にも、ブラックリストデータ１５２にも掲載されていなかった旨の通知だけでなく、当該情報が第二削除プログラム１６６によって削除された旨を通知する内容が追加されたものであってもよい。
【0044】
匿名化システムは、以上のように構成されており、続いて、匿名化システムによる匿名化処理の流れを説明する。
【0045】
まず、図５に示すように、判断手段（判断プログラム１６１）によって、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１とブラックリストデータ１５２のいずれかに掲載された候補と一致するか否かを判断する（ステップＳ１）。
【0046】
収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１にも、ブラックリストデータ１５２にも掲載されていなかった場合は、その旨を、通知手段（通知プログラム１６２）によって管理者に通知する（ステップＳ２）。
【0047】
収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１とブラックリストデータ１５２のいずれかに掲載された候補と一致する場合は、判断手段（判断プログラム１６１）によって、ホワイトリストデータ１５１に掲載された候補と一致するか、ブラックリストデータ１５２に掲載された候補と一致するか、を判断する（ステップＳ３）。
【0048】
ステップＳ３において、判断手段によって、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１に掲載された候補と一致する（すなわち、個人を特定不可能な情報である）と判断された場合は、ステップＳ７へと移行する。
【0049】
ステップＳ３において、判断手段によって、収集したデータに含まれた任意に設定変更可能な情報が、ブラックリストデータ１５２に掲載された候補と一致する（すなわち、個人を特定可能な情報である）と判断された場合は、当該情報を置換するか、削除するかを判断する（ステップＳ４）。
【0050】
ステップＳ４での判断は、収集したデータに含まれた任意に設定変更可能な情報を、置換手段（置換プログラム１６３）によって、個人を特定不可能な情報に置換することが可能か否か、を判断基準としており、置換不可能である場合は、第一削除手段（第一削除プログラム１６４）によって削除する（ステップＳ５）。
一方、ステップＳ４での判断において、収集したデータに含まれた任意に設定変更可能な情報が、置換手段によって置換可能である場合は、第一削除手段によって削除せずに、置換手段によって個人を特定不可能な情報に置換する（ステップＳ６）。
一方、ステップＳ４での判断において、収集したデータに含まれた任意に設定変更可能な情報が、置換手段によって置換可能である場合は、第一削除手段によって削除せずに、置換手段によって個人を特定不可能な情報に置換する（ステップＳ６）。
【0051】
ステップＳ６において、収集したデータに含まれた任意に設定変更可能な情報が、置換手段によって、個人を特定不可能な情報に置換された場合は、当該情報はデータベース２へと送信されて記憶される（ステップＳ７）。
さらに、ステップＳ３において、判断手段によって、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１に掲載された候補と一致すると判断された場合も、当該情報はデータベース２へと送信されて記憶される（ステップＳ７）。
さらに、ステップＳ３において、判断手段によって、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１に掲載された候補と一致すると判断された場合も、当該情報はデータベース２へと送信されて記憶される（ステップＳ７）。
【0052】
また、ステップＳ２において、収集したデータに含まれた任意に設定変更可能な情報が、ホワイトリストデータ１５１にも、ブラックリストデータ１５２にも掲載されておらず、その旨の通知が通知手段によって管理者に送られた場合は、図６に示すように、収集したデータに含まれた任意に設定変更可能な情報が、匿名化を要するか否かを管理者が判断する（ステップＳ８）。すなわち、リスト追加手段（リスト追加プログラム１６５）によって、演算処理装置１における表示部１２に、匿名化を要するか否かを管理者に選択させる画面を表示する。
なお、管理者は、表示部１２に表示された選択画面での、匿名化要否の選択を、入力部１１によって行い、自身の選択をシステムに反映させる。
なお、管理者は、表示部１２に表示された選択画面での、匿名化要否の選択を、入力部１１によって行い、自身の選択をシステムに反映させる。
【0053】
管理者が匿名化を必要としないと選択した場合は、ホワイトリストデータ１５１に掲載された候補及びブラックリストデータ１５２に掲載された候補のいずれにも一致しない任意に設定変更可能な情報を、リスト追加手段によって、個人を特定不可能な情報の候補としてホワイトリストデータ１５１に追加掲載する（ステップＳ９）。
【0054】
一方、管理者が匿名化を要すると選択した場合は、リスト追加手段（リスト追加プログラム１６５）によって、演算処理装置１における表示部１２に、当該匿名化を要する情報が、一般化が可能であるか否かを管理者に選択させる画面を表示する（ステップＳ１０）。
なお、管理者は、表示部１２に表示された選択画面での、一般化可否の選択を、入力部１１によって行い、自身の選択をシステムに反映させる。
なお、管理者は、表示部１２に表示された選択画面での、一般化可否の選択を、入力部１１によって行い、自身の選択をシステムに反映させる。
【0055】
管理者が一般化が可能であると選択した場合は、上記の匿名化を要すると選択された情報を、リスト追加手段によって、個人を特定可能な情報の候補としてブラックリストデータ１５２に追加掲載する（ステップＳ１１）。
一方、管理者が一般化が不可能であると選択した場合は、上記の匿名化を要すると選択された情報を、第二削除手段（第二削除プログラム１６６）によって削除する（ステップＳ１２）。
一方、管理者が一般化が不可能であると選択した場合は、上記の匿名化を要すると選択された情報を、第二削除手段（第二削除プログラム１６６）によって削除する（ステップＳ１２）。
【0056】
以上のようにして、匿名化システムによる匿名化処理が行われる。このような流れであれば、ステップＳ及びステップＳでの工程以外では、人の手が加わらない状態で匿名化処理を行うことができる。
【0057】
なお、上記のように、通知手段によって通知が行われた後に、第二削除手段（第二削除プログラム１６６）によって、ホワイトリストデータ１５１に掲載された候補及びブラックリストデータ１５２に掲載された候補のいずれにも一致しない任意に設定変更可能な情報を削除する場合は、ステップＳ８～Ｓ１２は省略される。
【0058】
本実施の形態によれば、収集したデータの中に個人を特定可能な情報が含まれるか否かを判断する判断手段（判断プログラム１６１）が、収集したデータとリスト１５１，１５２内の情報とを照合し、ホワイトリスト１５１に掲載された候補のいずれかと一致する情報があるか、ブラックリスト１５２に掲載された候補のいずれかと一致する情報があるかを判断するので、収集したデータの一つ一つに対して人の目を通さずに、収集したデータに含まれた任意に設定変更可能な情報が、ブラックリスト１５２に掲載された個人を特定可能な情報の候補に一致するか否かの判断を行うことができる。
さらに、収集したデータの中に、判断手段（判断プログラム１６１）によってブラックリスト１５２に掲載された候補のいずれかと一致する情報があると判断された場合に、置換手段（置換プログラム１６３）が、当該情報を、個人を特定不可能な情報に置換するので、収集したデータの一つ一つに対して人の目を通さずに匿名化処理を行うことができる。
したがって、収集したデータの匿名化処理を効率的かつ確実に行うことが可能となる。
さらに、収集したデータの中に、判断手段（判断プログラム１６１）によってブラックリスト１５２に掲載された候補のいずれかと一致する情報があると判断された場合に、置換手段（置換プログラム１６３）が、当該情報を、個人を特定不可能な情報に置換するので、収集したデータの一つ一つに対して人の目を通さずに匿名化処理を行うことができる。
したがって、収集したデータの匿名化処理を効率的かつ確実に行うことが可能となる。
【0059】
また、収集したデータの一つ一つに対して人の目を通さずに、ブラックリスト１５２に掲載された候補のいずれかと一致し、かつ置換手段（置換プログラム１６３）によって置換不可能とされた情報を、第一削除手段（第一削除プログラム１６４）によって削除できるので、全体的な処理の簡素化を図ることができ、匿名化処理の効率を上げることができる。
【0060】
また、収集したデータに含まれた情報が、ホワイトリスト１５１に掲載された候補及びブラックリスト１５２に掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を、リスト追加手段（リスト追加プログラム１６５）によって、ホワイトリスト１５１及びブラックリスト１５２のいずれかの候補として追加掲載できるので、以後の判断手段（判断プログラム１６１）による判断の精度を高めることができる。
【0061】
また、収集したデータに含まれた情報が、ホワイトリスト１５１に掲載された候補及びブラックリスト１５２に掲載された候補のいずれにも一致しない場合に、当該収集したデータに含まれた情報を、第二削除手段（第二削除プログラム１６６）によって削除できるので、全体的な処理の簡素化を図ることができ、匿名化処理の効率を上げることができる。
【0062】
また、データベース２に対し、収集したデータに含まれた情報が判断手段（判断プログラム１６１）によってホワイトリスト１５１に掲載された候補のいずれかと一致すると判断されたデータと、収集したデータに含まれた情報が置換手段（置換プログラム１６３）によって個人を特定不可能な情報に置換されたデータと、を記憶できるので、膨大な数のデータを収集及び分析することが可能となり、収集したデータを利活用しやすい。
【0063】
また、データ収集元は、複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）からデータを収集するために構築されたデータ収集ネットワークであるため、複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）からデータを収集することができる。これにより、膨大な数のデータを収集することが可能となる。
【0064】
また、収集したデータの中には、複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）によって任意に設定変更可能な情報が含まれ、当該任意に設定変更可能な情報が、判断手段（判断プログラム１６１）による判断の対象となっているので、複数のユーザＵ（Ｕ１，Ｕ２，Ｕ３）によって任意に設定変更された情報でも、ブラックリスト１５２に掲載された個人を特定可能な情報の候補に一致するか否かの判断を容易に行うことができる。
【0065】
なお、サービス提供者が提供するサービスは、本実施形態においては、各ユーザＵが居住する住宅３，４，５における消費電力量に係るネットワークサービスとしたが、これに限られるものではなく、他の如何なるサービスであってもよい。
また、収集手段によって収集されるデータは、本実施形態においては、ユーザＵによって任意に設定変更可能な情報が含まれたデータとしたが、ユーザＵによって任意に設定変更することが不可能な情報が含まれたデータであってもよい。その場合、ユーザＵによって任意に設定変更することが不可能な情報が含まれたデータの中に、個人を特定可能な情報が含まれるものとする。
また、収集手段によって収集されるデータは、本実施形態においては、ユーザＵによって任意に設定変更可能な情報が含まれたデータとしたが、ユーザＵによって任意に設定変更することが不可能な情報が含まれたデータであってもよい。その場合、ユーザＵによって任意に設定変更することが不可能な情報が含まれたデータの中に、個人を特定可能な情報が含まれるものとする。
【符号の説明】
【0066】
１ 演算処理装置
２ データベース
３ 住宅
３ａ エネルギー表示器
３ｂ 携帯情報端末
４ 住宅
４ａ エネルギー表示器
４ｂ 携帯情報端末
５ 住宅
５ａ エネルギー表示器
５ｂ 携帯情報端末
１０ 制御部
１１ 入力部
１２ 表示部
１３ 通信部
１４ 記憶部
１５ データ記憶部
１５１ ホワイトリストデータ
１５２ ブラックリストデータ
１６ プログラム記憶部
１６１ 判断プログラム
１６２ 通知プログラム
１６３ 置換プログラム
１６４ 第一削除プログラム
１６５ リスト追加プログラム
１６６ 第二削除プログラム
Ｕ（Ｕ１，Ｕ２，Ｕ３） ユーザ
Ｎ 通信ネットワーク
２ データベース
３ 住宅
３ａ エネルギー表示器
３ｂ 携帯情報端末
４ 住宅
４ａ エネルギー表示器
４ｂ 携帯情報端末
５ 住宅
５ａ エネルギー表示器
５ｂ 携帯情報端末
１０ 制御部
１１ 入力部
１２ 表示部
１３ 通信部
１４ 記憶部
１５ データ記憶部
１５１ ホワイトリストデータ
１５２ ブラックリストデータ
１６ プログラム記憶部
１６１ 判断プログラム
１６２ 通知プログラム
１６３ 置換プログラム
１６４ 第一削除プログラム
１６５ リスト追加プログラム
１６６ 第二削除プログラム
Ｕ（Ｕ１，Ｕ２，Ｕ３） ユーザ
Ｎ 通信ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】