ホーム > 特許ランキング > 日本電信電話株式会社
特許7405248匿名化データベース生成装置、匿名化データベース生成方法、プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-12-18
(45)【発行日】2023-12-26
(54)【発明の名称】匿名化データベース生成装置、匿名化データベース生成方法、プログラム
(51)【国際特許分類】
G06F 21/62 20130101AFI20231219BHJP
【ＦＩ】
G06F21/62 354
【請求項の数】
6
(21)【出願番号】P 2022518490
(86)(22)【出願日】2020-04-28
(86)【国際出願番号】 JP2020018127
(87)【国際公開番号】W WO2021220404
(87)【国際公開日】2021-11-04
【審査請求日】2022-08-05
(73)【特許権者】
【識別番号】000004226
【氏名又は名称】日本電信電話株式会社
(74)【代理人】
【識別番号】100121706
【弁理士】
【氏名又は名称】中尾 直樹
(74)【代理人】
【識別番号】100128705
【弁理士】
【氏名又は名称】中村 幸雄
(74)【代理人】
【識別番号】100147773
【弁理士】
【氏名又は名称】義村 宗洋
(72)【発明者】
【氏名】長谷川 聡
【審査官】上島 拓也
(56)【参考文献】
【文献】特開２０１５－１１４８７１（ＪＰ，Ａ）
【文献】特開２０１４－０１３４５８（ＪＰ，Ａ）
【文献】国際公開第２０１０／１２７２１６（ＷＯ，Ａ２）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／６２
(57)【特許請求の範囲】
【請求項1】
データベースを構成する属性に対して、直接識別子、準識別子、その他のいずれかの種別を当該属性の種別として付与する属性種別分類部と、前記データベースを構成する属性に対して、ユーザが当該属性の種別が適切でないと判断する場合、当該属性の種別を無加工という種別に修正する属性種別修正部と、
前記データベースを構成する属性に対して、当該属性の種別に応じた方法を用いて当該属性の値を匿名化し、匿名化データベースを生成する匿名化データベース生成部と
を含む匿名化データベース生成装置。
【請求項2】
請求項１に記載の匿名化データベース生成装置であって、前記属性種別分類部は、パターンマッチングによる方法、正規表現による方法、チェックデジット生成アルゴリズムによる方法、範囲チェックによる方法、相関による方法のうち、いくつかの方法を用いて、種別を付与する
ことを特徴とする匿名化データベース生成装置。
【請求項3】
請求項１に記載の匿名化データベース生成装置であって、前記匿名化データベース生成部は、
前記データベースを構成する属性の種別が直接識別子である場合は、項目削除、仮ＩＤ化のうち、いくつかの方法を用いて匿名化し、
前記データベースを構成する属性の種別が準識別子である場合は、k-匿名性を満たす方法を用いて匿名化する
ことを特徴とする匿名化データベース生成装置。
【請求項4】
請求項３に記載の匿名化データベース生成装置であって、前記匿名化データベース生成部は、前記データベースを構成する属性の種別がその他である場合は、削除、一般化、丸め、スワッピング、ノイズ付加、ミクロアグリゲーション、トップコーディング、ボトムコーディング、外れ値加工、ランダム化のうち、いくつかの方法を用いて匿名化する
ことを特徴とする匿名化データベース生成装置。
【請求項5】
匿名化データベース生成装置が、データベースを構成する属性に対して、直接識別子、準識別子、その他のいずれかの種別を当該属性の種別として付与する属性種別分類ステップと、前記匿名化データベース生成装置が、前記データベースを構成する属性に対して、ユーザが当該属性の種別が適切でないと判断する場合、当該属性の種別を無加工という種別に修正する属性種別修正ステップと、
前記匿名化データベース生成装置が、前記データベースを構成する属性に対して、当該属性の種別に応じた方法を用いて当該属性の値を匿名化し、匿名化データベースを生成する匿名化データベース生成ステップと
を含む匿名化データベース生成方法。
【請求項6】
請求項１ないし４のいずれか１項に記載の匿名化データベース生成装置としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、データベースを匿名化する技術に関する。
【背景技術】
【0002】
匿名加工情報とは、特定の個人を識別することができないように個人情報を加工し、当該個人情報を復元できないようにした情報のことをいう。匿名加工情報に関する要件は、各国の法律（例えば、日本では個人情報保護法）などで規定されており、非特許文献１や非特許文献２に記載の加工方法（例えば、削除や置換）を用いて、要件を満たすように個人情報を加工する必要がある。
【先行技術文献】
【非特許文献】
【0003】
【文献】個人情報保護委員会事務局レポート：匿名加工情報 パーソナルデータの利活用促進と消費者の信頼性確保の両立に向けて, ［online］， ［令和２年４月１７日検索］， インターネット<URL: https://www.ppc.go.jp/files/pdf/report_office.pdf>
【文献】国立情報学研究所「匿名加工情報に関する技術検討ワーキンググループ」：匿名加工情報の適正な加工の方法に関する報告書 ２０１７年２月２１日版, ［online］， ［令和２年４月１７日検索］， インターネット<URL: http://www.nii.ac.jp/research/reports/pd/report-kihon-20170221.pdf>
【発明の概要】
【発明が解決しようとする課題】
【0004】
上述の通り、匿名加工情報を適切に作成する作業は、要件を規定する法律などを厳格に解釈し、人手で適切な加工方法を選択し作成する必要があるため、法律の知識および加工方法に関する知識が十分にない者にとっては、極めて困難なものとなる。
【0005】
そこで本発明では、法律の知識や加工方法の知識を持たなくても、匿名加工情報を生成することができる技術を提供することを目的とする。
【課題を解決するための手段】
【0006】
本発明の一態様は、データベースを構成する属性に対して、直接識別子、準識別子、その他のいずれかの種別を当該属性の種別として付与する属性種別分類部と、前記データベースを構成する属性に対して、当該属性の種別に応じた方法を用いて当該属性の値を匿名化し、匿名化データベースを生成する匿名化データベース生成部とを含む。
【0007】
本発明の一態様は、データベースを構成する属性に対して、直接識別子、準識別子、その他のいずれかの種別を当該属性の種別として付与する属性種別分類部と、前記データベースを構成する属性に対して、ユーザが当該属性の種別が適切でないと判断する場合、当該属性の種別を無加工という種別に修正する属性種別修正部と、前記データベースを構成する属性に対して、当該属性の種別に応じた方法を用いて当該属性の値を匿名化し、匿名化データベースを生成する匿名化データベース生成部とを含む。
【発明の効果】
【0008】
本発明によれば、法律の知識や加工方法の知識を持たなくても、匿名加工情報を生成することが可能となる。
【図面の簡単な説明】
【0009】
【図1】匿名化データベース生成装置１００の構成を示すブロック図である。
【図2】匿名化データベース生成装置１００の動作を示すフローチャートである。
【図3】匿名化データベース生成装置２００の構成を示すブロック図である。
【図4】匿名化データベース生成装置２００の動作を示すフローチャートである。
【図5】データベースの一例を示す図である。
【図6】本発明の実施形態における各装置を実現するコンピュータの機能構成の一例を示す図である。
【発明を実施するための形態】
【0010】
以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
【0011】
各実施形態の説明に先立って、この明細書における表記方法について説明する。
【0012】
^（キャレット）は上付き添字を表す。例えば、xy^zはyzがxに対する上付き添字であり、xy^zはyzがxに対する下付き添字であることを表す。また、_（アンダースコア）は下付き添字を表す。例えば、xy_zはyzがxに対する上付き添字であり、xy_zはyzがxに対する下付き添字であることを表す。
【0013】
また、ある文字xに対する^xや~xのような上付き添え字の”^”や”~”は、本来”x”の真上に記載されるべきであるが、明細書の記載表記の制約上、^xや~xと記載しているものである。
＜技術的背景＞
本発明の各実施形態において、匿名加工情報を生成する対象はデータベースであり、データベースのデータが匿名化された匿名化データベースが生成される。
＜技術的背景＞
本発明の各実施形態において、匿名加工情報を生成する対象はデータベースであり、データベースのデータが匿名化された匿名化データベースが生成される。
【0014】
以下、各実施形態における匿名化データベースの生成手順について、説明する。
（１）まず、データベースの属性を直接識別子、準識別子、その他に分類する。直接識別子、準識別子、その他のことを種別という。直接識別子とは、自明に単体で特定の個人を識別できる属性のことをいう。準識別子とは、自明に他属性との組み合わせで特定の個人を識別できる属性のことをいう。その他とは、直接識別子、準識別子のいずれにも該当しない属性のことをいう。
（２）次に、種別に応じた適切な加工方法を用いて、属性のデータを匿名加工する。
（１）まず、データベースの属性を直接識別子、準識別子、その他に分類する。直接識別子、準識別子、その他のことを種別という。直接識別子とは、自明に単体で特定の個人を識別できる属性のことをいう。準識別子とは、自明に他属性との組み合わせで特定の個人を識別できる属性のことをいう。その他とは、直接識別子、準識別子のいずれにも該当しない属性のことをいう。
（２）次に、種別に応じた適切な加工方法を用いて、属性のデータを匿名加工する。
【0015】
なお、（２）の処理を実行する前に、誤分類の可能性を考慮し、ユーザが属性の種別を修正することができるようにしてもよい。この場合、新たに、「無加工」という種別を設け、当該種別を指定することで、（２）の処理対象としないようにする。
＜第１実施形態＞
匿名化データベース生成装置１００は、データベースを入力とし、匿名化データベースを生成し、出力する。
＜第１実施形態＞
匿名化データベース生成装置１００は、データベースを入力とし、匿名化データベースを生成し、出力する。
【0016】
以下、図１～図２を参照して匿名化データベース生成装置１００について説明する。図１は、匿名化データベース生成装置１００の構成を示すブロック図である。図２は、匿名化データベース生成装置１００の動作を示すフローチャートである。図１に示すように匿名化データベース生成装置１００は、属性種別分類部１１０と、匿名化データベース生成部１２０と、記録部１９０を含む。記録部１９０は、匿名化データベース生成装置１００の処理に必要な情報を適宜記録する構成部である。記録部１９０には、例えば、匿名化の対象となるデータベースが記録される。
【0017】
図２に従い匿名化データベース生成装置１００の動作について説明する。
【0018】
Ｓ１１０において、属性種別分類部１１０は、データベースを入力とし、データベースを構成する属性それぞれに対して、直接識別子、準識別子、その他のいずれかの種別を当該属性の種別として付与し、分類結果として出力する。
【0019】
以下、直接識別子と準識別子の例、分類方法の例について説明する。
（直接識別子と準識別子の例）
直接識別子の例として、氏名、メールアドレス、マイナンバー、基礎年金番号、住民票コード、電話番号、旅券番号、クレジットカード番号などがある。
（直接識別子と準識別子の例）
直接識別子の例として、氏名、メールアドレス、マイナンバー、基礎年金番号、住民票コード、電話番号、旅券番号、クレジットカード番号などがある。
【0020】
準識別子の例として、年齢、住所、性別、生年月日などがある。また、ある準識別子と相関がある属性も準識別子として扱うこととする。
（分類方法の例）
分類方法として、以下の方法がある。
（１）パターンマッチングによる方法
パターンマッチングによる方法とは、所定のデータの集合のデータと分類対象（つまり、種別付与対象）の属性のデータをパターンマッチングすることで直接識別子／準識別子であるか否かを判別する方法である。
（分類方法の例）
分類方法として、以下の方法がある。
（１）パターンマッチングによる方法
パターンマッチングによる方法とは、所定のデータの集合のデータと分類対象（つまり、種別付与対象）の属性のデータをパターンマッチングすることで直接識別子／準識別子であるか否かを判別する方法である。
【0021】
直接識別子である氏名については、氏名の一覧を所定のデータの集合とするパターンマッチングにより判別できる。また、準識別子である住所、性別についても、住所の一覧、性別の一覧を所定のデータの集合とするパターンマッチングにより判別できる。
（２）正規表現による方法
正規表現による方法とは、分類対象の属性のデータが所定の正規表現に該当するか否か判定することで直接識別子／準識別子であるか否かを判別する方法である。
（２）正規表現による方法
正規表現による方法とは、分類対象の属性のデータが所定の正規表現に該当するか否か判定することで直接識別子／準識別子であるか否かを判別する方法である。
【0022】
直接識別子であるメールアドレス、電話番号、旅券番号については、所定の正規表現に該当するか否かで判別できる。
（３）チェックデジット生成アルゴリズムによる方法
チェックデジット生成アルゴリズムによる方法とは、分類対象の属性のデータが所定のチェックデジット生成アルゴリズムを用いて生成されたデータであるか否か判定することで直接識別子であるか否かを判別する方法である。
（３）チェックデジット生成アルゴリズムによる方法
チェックデジット生成アルゴリズムによる方法とは、分類対象の属性のデータが所定のチェックデジット生成アルゴリズムを用いて生成されたデータであるか否か判定することで直接識別子であるか否かを判別する方法である。
【0023】
直接識別子であるマイナンバー、住民票コードについては、Modulus11Weight234567というチェックデジット生成アルゴリズムを用いて生成されたデータであるか否かで判別できる。また、直接識別子であるクレジットカード番号については、LuhnAlgorithmというチェックデジット生成アルゴリズムを用いて生成されたデータであるか否かで判別できる。
（４）範囲チェックによる方法
範囲チェックによる方法とは、分類対象の属性のデータが所定のデータ範囲に含まれるか否か判定することで準識別子であるか否かを判別する方法である。
（４）範囲チェックによる方法
範囲チェックによる方法とは、分類対象の属性のデータが所定のデータ範囲に含まれるか否か判定することで準識別子であるか否かを判別する方法である。
【0024】
準識別子である年齢については、{0, 1, …, 119, 120}を所定のデータ範囲として、当該データ範囲に含まれるか否かで判別できる。
（５）相関による方法
相関による方法とは、分類対象の属性がある準識別子と相関があるか否かを判定することで準識別子であるか否かを判別する方法である。相関による方法では、分類対象の属性と判定に用いる準識別子の両方が量的属性である場合は、ピアソン相関を用いる。分類対象の属性と判定に用いる準識別子のいずれか一方が量的属性であり、もう一方が質的属性である場合は、相関比を用いる。分類対象の属性と判定に用いる準識別子の両方が質的属性である場合は、クラメールの連関係数を用いる。ここで、質的属性とは、性別のように属性の値として数値以外の値をとる属性、量的属性とは、年齢のように属性の値として数値をとる属性のことである。なお、判定に用いる準識別子として、年齢、住所、性別、生年月日を用いることができ、その際、準識別子のデータの分布が一様性を有する場合、相関の有無の判定に用いないようにしてもよい。このようにすることで、分類対象の属性が準識別子であるか否かの判別の誤りを削減することができる。
（５）相関による方法
相関による方法とは、分類対象の属性がある準識別子と相関があるか否かを判定することで準識別子であるか否かを判別する方法である。相関による方法では、分類対象の属性と判定に用いる準識別子の両方が量的属性である場合は、ピアソン相関を用いる。分類対象の属性と判定に用いる準識別子のいずれか一方が量的属性であり、もう一方が質的属性である場合は、相関比を用いる。分類対象の属性と判定に用いる準識別子の両方が質的属性である場合は、クラメールの連関係数を用いる。ここで、質的属性とは、性別のように属性の値として数値以外の値をとる属性、量的属性とは、年齢のように属性の値として数値をとる属性のことである。なお、判定に用いる準識別子として、年齢、住所、性別、生年月日を用いることができ、その際、準識別子のデータの分布が一様性を有する場合、相関の有無の判定に用いないようにしてもよい。このようにすることで、分類対象の属性が準識別子であるか否かの判別の誤りを削減することができる。
【0025】
したがって、属性種別判定部１１０は、パターンマッチングによる方法、正規表現による方法、チェックデジット生成アルゴリズムによる方法、範囲チェックによる方法、相関による方法のうち、いくつかの方法を用いて、種別を付与するように構成することができる。つまり、属性種別分類部１１０は、パターンマッチングによる方法、正規表現による方法、チェックデジット生成アルゴリズムによる方法、範囲チェックによる方法、相関による方法の中から選択した１以上の方法をデータベースを構成する属性に対して順次適用していくことで種別を判別し、属性と当該属性に付与された種別の組を含む分類結果を生成し、出力する。
【0026】
Ｓ１２０において、匿名化データベース生成部１２０は、データベースとＳ１１０で出力された分類結果とを入力とし、データベースを構成する属性それぞれに対して、当該属性の種別に応じた方法を用いて当該属性の値を匿名化し、匿名化データベースを生成し、出力する。
【0027】
以下、匿名化の方法の例について説明する。
（属性の種別が直接識別子である場合）
（１）項目削除
項目削除とは、匿名化対象となる属性の値をすべて削除する（つまり、属性項目自体を削除する）ことにより匿名化する方法である。
（２）仮ＩＤ化
仮ＩＤ化とは、ハッシュ関数などを用いて匿名化対象となる属性の値をＩＤに変換することにより匿名化する方法である。
（属性の種別が準識別子である場合）
例えば、参考非特許文献１に記載のk-匿名性を満たす方法がある。
（参考非特許文献１：Khaled El Emam, Fida Kamal Dankar, Romeo Issa, Elizabeth Jonker, Daniel Amyot, Elise Cogo, Jean-Pierre Corriveau, Mark Walker, Sadrul Chowdhury, Regis Vaillancourt, et al., “A globally optimal k-anonymity method for the de-identification of health data,” Journal of the American Medical Informatics Association, Vol.16, No.5, pp.670-682, 2009.）
（属性の種別がその他である場合）
（１）削除
削除とは、匿名化対象となる属性の値の一部またはすべてを削除することにより匿名化する方法である。
（２）一般化
一般化とは、上位となる概念を用いて匿名化対象となる属性の値を置き換えることにより匿名化する方法である。
（３）丸め
丸めとは、匿名化対象となる属性が量的属性である場合、当該属性の値を四捨五入、切り捨てなどの端数処理することで得られた値で置換することにより匿名化する方法である。
（４）スワッピング
スワッピングとは、匿名化対象となる属性の値をレコード間で（確率的に）入れ替えることにより匿名化する方法である。
（５）ノイズ付加
ノイズ付加とは、匿名化対象となる属性が量的属性である場合、当該属性の値に対し一定の（確率）分布に従い発生させたランダムな値を加算することにより匿名化する方法である。
（６）ミクロアグリゲーション
ミクロアグリゲーションとは、匿名化対象となる属性の値をグループ化しそのグループの値を代表値に置き換えることにより匿名化する方法である。
（７）トップコーディング
トップコーディングとは、匿名化対象となる属性が量的属性である場合、当該属性の値に対して特に大きい数値をまとめることにより匿名化する方法である。
（８）ボトムコーディング
ボトムコーディングとは、匿名化対象となる属性が量的属性である場合、当該属性の値に対して特に小さい数値をまとめることにより匿名化する方法である。
（９）外れ値加工
外れ値加工とは、匿名化対象となる属性に含まれる特異な値（外れ値）を削除、トップコーディング、ボトムコーディングなどの加工を行うことにより匿名化する方法である。
（１０）ランダム化
ランダム化とは、匿名化対象となる属性の値を（確率的に）別の値に置き換えることにより匿名化する方法である。
（属性の種別が直接識別子である場合）
（１）項目削除
項目削除とは、匿名化対象となる属性の値をすべて削除する（つまり、属性項目自体を削除する）ことにより匿名化する方法である。
（２）仮ＩＤ化
仮ＩＤ化とは、ハッシュ関数などを用いて匿名化対象となる属性の値をＩＤに変換することにより匿名化する方法である。
（属性の種別が準識別子である場合）
例えば、参考非特許文献１に記載のk-匿名性を満たす方法がある。
（参考非特許文献１：Khaled El Emam, Fida Kamal Dankar, Romeo Issa, Elizabeth Jonker, Daniel Amyot, Elise Cogo, Jean-Pierre Corriveau, Mark Walker, Sadrul Chowdhury, Regis Vaillancourt, et al., “A globally optimal k-anonymity method for the de-identification of health data,” Journal of the American Medical Informatics Association, Vol.16, No.5, pp.670-682, 2009.）
（属性の種別がその他である場合）
（１）削除
削除とは、匿名化対象となる属性の値の一部またはすべてを削除することにより匿名化する方法である。
（２）一般化
一般化とは、上位となる概念を用いて匿名化対象となる属性の値を置き換えることにより匿名化する方法である。
（３）丸め
丸めとは、匿名化対象となる属性が量的属性である場合、当該属性の値を四捨五入、切り捨てなどの端数処理することで得られた値で置換することにより匿名化する方法である。
（４）スワッピング
スワッピングとは、匿名化対象となる属性の値をレコード間で（確率的に）入れ替えることにより匿名化する方法である。
（５）ノイズ付加
ノイズ付加とは、匿名化対象となる属性が量的属性である場合、当該属性の値に対し一定の（確率）分布に従い発生させたランダムな値を加算することにより匿名化する方法である。
（６）ミクロアグリゲーション
ミクロアグリゲーションとは、匿名化対象となる属性の値をグループ化しそのグループの値を代表値に置き換えることにより匿名化する方法である。
（７）トップコーディング
トップコーディングとは、匿名化対象となる属性が量的属性である場合、当該属性の値に対して特に大きい数値をまとめることにより匿名化する方法である。
（８）ボトムコーディング
ボトムコーディングとは、匿名化対象となる属性が量的属性である場合、当該属性の値に対して特に小さい数値をまとめることにより匿名化する方法である。
（９）外れ値加工
外れ値加工とは、匿名化対象となる属性に含まれる特異な値（外れ値）を削除、トップコーディング、ボトムコーディングなどの加工を行うことにより匿名化する方法である。
（１０）ランダム化
ランダム化とは、匿名化対象となる属性の値を（確率的に）別の値に置き換えることにより匿名化する方法である。
【0028】
したがって、匿名化データベース生成部１２０は、データベースを構成する属性の種別が直接識別子である場合は、項目削除、仮ＩＤ化のうち、いくつかの方法を用いて匿名化し、データベースを構成する属性の種別が準識別子である場合は、k-匿名性を満たす方法を用いて匿名化し、データベースを構成する属性の種別がその他である場合は、削除、一般化、丸め、スワッピング、ノイズ付加、ミクロアグリゲーション、トップコーディング、ボトムコーディング、外れ値加工、ランダム化のうち、いくつかの方法を用いて匿名化するように構成することができる。
【0029】
本発明の実施形態によれば、法律の知識や加工方法の知識を持たなくても、匿名加工情報を生成することが可能となる。特に、専門知識がないユーザであっても、自動的に適切な加工方法を用いて匿名加工情報を生成することが可能となる。
＜第２実施形態＞
匿名化データベース生成装置２００は、データベースを入力とし、匿名化データベースを生成し、出力する。
＜第２実施形態＞
匿名化データベース生成装置２００は、データベースを入力とし、匿名化データベースを生成し、出力する。
【0030】
以下、図３～図４を参照して匿名化データベース生成装置２００について説明する。図３は、匿名化データベース生成装置２００の構成を示すブロック図である。図４は、匿名化データベース生成装置２００の動作を示すフローチャートである。図３に示すように匿名化データベース生成装置２００は、属性種別分類部１１０と、属性種別修正部２１０と、匿名化データベース生成部１２０と、記録部１９０を含む。記録部１９０は、匿名化データベース生成装置２００の処理に必要な情報を適宜記録する構成部である。記録部１９０には、例えば、匿名化の対象となるデータベースが記録される。
【0031】
図４に従い匿名化データベース生成装置２００の動作について説明する。
【0032】
Ｓ１１０において、属性種別分類部１１０は、データベースを入力とし、データベースを構成する属性それぞれに対して、直接識別子、準識別子、その他のいずれかの種別を当該属性の種別として付与し、分類結果として出力する。
【0033】
Ｓ２１０において、属性種別修正部２１０は、Ｓ１１０で出力された分類結果を入力とし、データベースを構成する属性それぞれに対して、ユーザが当該属性の種別が適切でないと判断する場合、当該属性の種別を無加工という種別に修正し、当該修正を反映した分類結果を出力する。ユーザが属性の種別が適切でないと判断する場合、ユーザは、例えば、入力部（図示しない）を用いて、修正指示を属性種別修正部２１０に入力する。
【0034】
Ｓ１２０において、匿名化データベース生成部１２０は、データベースとＳ２１０で出力された分類結果とを入力とし、データベースを構成する属性それぞれに対して、当該属性の種別に応じた方法を用いて当該属性の値を匿名化し、匿名化データベースを生成し、出力する。ここで、属性の種別が無加工である場合は、匿名化処理を実行しないものとする。
【0035】
本発明の実施形態によれば、法律の知識や加工方法の知識を持たなくても、匿名加工情報を生成することが可能となる。特に、専門知識がないユーザであっても、自動的に適切な加工方法を用いて匿名加工情報を生成することが可能となる。
＜適用例＞
ここでは、図５に示すデータベースを例に用いながら各構成部での処理について説明する。当該データベースは、(a), (b), (c), (d), (e), (f), (g)と識別される７つの属性を持つ。
（１）属性種別分類部１１０、属性種別修正部２１０での処理
属性種別分類部１１０は、上記７つの属性が直接識別子、準識別子、その他のいずれに該当するかを判別し、分類結果を生成する。属性種別修正部２１０は、ユーザによる修正指示に基づいて修正した分類結果を生成する。
＜適用例＞
ここでは、図５に示すデータベースを例に用いながら各構成部での処理について説明する。当該データベースは、(a), (b), (c), (d), (e), (f), (g)と識別される７つの属性を持つ。
（１）属性種別分類部１１０、属性種別修正部２１０での処理
属性種別分類部１１０は、上記７つの属性が直接識別子、準識別子、その他のいずれに該当するかを判別し、分類結果を生成する。属性種別修正部２１０は、ユーザによる修正指示に基づいて修正した分類結果を生成する。
【0036】
属性(a)については、氏名の一覧を用いたパターンマッチングにより、当該属性は氏名であると判別し、直接識別子を属性(a)の種別として付与する。
【0037】
属性(b)については、Modulus11Weight234567というチェックデジット生成アルゴリズムに従っていることから、当該属性はマイナンバーであると判別し、直接識別子を属性(b)の種別として付与する。
【0038】
属性(c)については、性別の一覧を用いたパターンマッチングにより、当該属性は性別であると判別し、準識別子を属性(c)の種別として付与する。
【0039】
属性(d)については、住所の一覧を用いたパターンマッチングにより、当該属性は住所であると判別し、準識別子を属性(d)の種別として付与する。
【0040】
属性(e)については、{0, 1, …, 119, 120}をデータ範囲とする範囲チェックにより、当該属性は年齢であると判別し、準識別子を属性(e)の種別として付与する。
【0041】
属性(f)については、属性(e)と相関が高いと判定し、準識別子を属性(f)の種別として付与する。
【0042】
属性(g)については、属性種別分類部１１０での処理で得られた種別が不適当であるとユーザが判断し、無加工に属性(g)の種別を修正する。
分類する。
（２）匿名化データベース生成部１２０での処理
匿名化データベース生成部１２０は、（１）の処理で得られた種別に応じた方法を用いて匿名化処理を実行する。
分類する。
（２）匿名化データベース生成部１２０での処理
匿名化データベース生成部１２０は、（１）の処理で得られた種別に応じた方法を用いて匿名化処理を実行する。
【0043】
属性(a)、属性(b)については、直接識別子であることから、項目削除を用いて匿名化処理を実行する。
【0044】
属性(c)、属性(d)、属性(e)、属性(f)については、当該４つの属性を対象としたk-匿名化を用いて匿名化処理を実行する。
属性(g)については、無加工であることから、匿名化処理を実行しない。
＜補記＞
図６は、上述の各装置（つまり、各ノード）を実現するコンピュータの機能構成の一例を示す図である。上述の各装置における処理は、記録部２０２０に、コンピュータを上述の各装置として機能させるためのプログラムを読み込ませ、制御部２０１０、入力部２０３０、出力部２０４０などに動作させることで実施できる。
属性(g)については、無加工であることから、匿名化処理を実行しない。
＜補記＞
図６は、上述の各装置（つまり、各ノード）を実現するコンピュータの機能構成の一例を示す図である。上述の各装置における処理は、記録部２０２０に、コンピュータを上述の各装置として機能させるためのプログラムを読み込ませ、制御部２０１０、入力部２０３０、出力部２０４０などに動作させることで実施できる。
【0045】
本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ－ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。
【0046】
ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。
【0047】
ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成部）を実現する。
【0048】
本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。
【0049】
既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。
【0050】
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ（Random Access Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ－ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。
【0051】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【0052】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
【0053】
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【0054】
上述の本発明の実施形態の記載は、例証と記載の目的で提示されたものである。網羅的であるという意思はなく、開示された厳密な形式に発明を限定する意思もない。変形やバリエーションは上述の教示から可能である。実施形態は、本発明の原理の最も良い例証を提供するために、そして、この分野の当業者が、熟考された実際の使用に適するように本発明を色々な実施形態で、また、色々な変形を付加して利用できるようにするために、選ばれて表現されたものである。すべてのそのような変形やバリエーションは、公正に合法的に公平に与えられる幅にしたがって解釈された添付の請求項によって定められた本発明のスコープ内である。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】