JP7164333B2 - 個人情報分析システム - Google Patents

Description

本発明は、個人情報分析システム、及び個人情報分析方法に関する。

近年のＩＴ（Information Technology）化の進展や人工知能の進化等により、大量のデータを収集してこれを分析し活用することが可能になりつつある。このような背景から、事業者が多数の個人から個人情報を預かり、これを活用して第三者に有益な情報を提供するという、いわゆる情報銀行の事業化の検討がなされている。

個人情報の管理方法には、これまでにも多数の技術が提案されている。例えば、特許文献１には、外部提供情報を読み出す情報読出し部と、読み出された情報の少なくとも一部を匿名化する情報匿名化処理部と、匿名化済の情報を外部提供情報として送信する情報送信部とを具備する情報匿名化処理装置において、情報読出し部から読み出された外部提供情報を評価する情報評価部をさらに有し、情報評価部は、情報読出し部から読み出された外部提供情報と、公開データベース、もしくは、閲覧を許諾されたデータベースに蓄積されている情報とを照合する情報照合機能を有する情報匿名化処理装置が開示されている。

特許第６１９２０６４号

しかしながら、情報銀行が大量の個人情報を預かりこれを利用する場合は、その個人情報を利用する第三者に対して有益な情報を提供することだけでなく、個人のプライバシー保護に対する対策がより重要である。

本発明はこのような現状に鑑みてなされたものであり、その目的は、個人情報を保護しつつこれを利用した有用な情報を第三者に提供することが可能な個人情報分析システム、及び個人情報分析方法を提供することにある。

以上の課題を解決するための本発明の一つは、個人情報分析システムであって、個人情報を利用した、所定の事項に関する分析の依頼に対して、第１分析方法により必要な項目に対応づけられている複数の個人情報に基づき第１の分析結果を生成すると共に、前記複数の個人情報を匿名化し、匿名化した情報に基づき前記分析の依頼に対する第２の分析結果を生成する分析実行部と、前記生成した第１の分析結果と第２の分析結果との差分の情報を生成する分析結果評価部と、を備える。

本発明によれば、個人情報を保護しつつこれを利用した有用な情報を第三者に提供することができる。

第１実施形態における個人情報分析システムの構成の一例を示す図である。 個人情報分析装置、分析者端末、及び個人情報管理装置が備えるハードウェアの一例を示す図である。 個人情報分析装置が備える主な機能の一例を説明する図である。 分析者端末が備える主な機能の一例を説明する図である。 個人情報管理装置が備える主な機能の一例を説明する図である。 ポリシー管理テーブルの一例を示す図である。 個人情報分析処理の一例を説明するフロー図である。 分析依頼情報の一例を示す図である。 対象個人情報特定処理の一例を説明するフロー図である。 分析者端末が表示する分析評価画面の一例である。 データ項目管理テーブルのレコード構成の一例を示す図である。 第２実施形態において行われる必要データ項目特定処理の一例を説明するフロー図である。 第２実施形態における分析評価画面の一例を示す図である。 第３実施形態における第２評価値算出処理の一例を説明するフロー図である。 第３実施形態における分析評価画面の一例を示す図である。 第４実施形態における個人情報分析処理の一例を示すフロー図である。 第５実施形態における必要データ項目特定処理の一例を示すフロー図である。 類似項目管理テーブルの一例を示す図である。 第５実施形態における個人情報要求処理の一例を示すフロー図である。

本発明の実施系の形態について図面を参照しつつ説明する。
［第１実施形態］
まず、第１実施形態の個人情報分析システムについて説明する。
＜システム構成＞
図１は、第１実施形態における個人情報分析システム１の構成の一例を示す図である。個人情報分析システム１は、複数の個人又は法人（顧客）の、１又は２以上の個人情報３５を記憶した１又は２以上の個人情報管理装置３０と、個人情報３５に基づき所定の分析を行うことが可能な個人情報分析装置１０と、個人情報分析装置１０に分析依頼を行う１又は２以上の分析者端末２０とを含んで構成されている。なお、個人情報分析装置１０と分析者端末２０との間、及び、個人情報分析装置１０と個人情報管理装置３０との間は、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、インターネッ
ト、又は専用線等の、有線又は無線の通信ネットワーク５によって接続されている。

個人情報管理装置３０は、例えば、情報銀行が管理する情報処理装置であり、銀行、各種企業、所定の情報機関、官庁、自治体、信用情報機関等が保有している個人情報３５を預かり、これを記憶している。

分析者端末２０は、例えば、各種企業、ＮＰＯ（Nonprofit Organization）、官庁、自治体、調査機関等が使用する情報処理装置である。

個人情報分析装置１０は、分析者端末２０からの分析依頼に基づいて、個人情報管理装置３０が管理している個人情報３５を活用することで当該依頼に対応する分析を行う。個人情報分析装置１０は、例えば、情報銀行や、所定の事業者等によって管理される情報処理装置である。

図２は、個人情報分析装置１０、分析者端末２０、及び個人情報管理装置３０が備えるハードウェアの一例を示す図である。これらの情報処理装置は、ＣＰＵ（Central Processing Unit）などのプロセッサ４１と、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read
Only Memory）等の主記憶装置４２と、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等の補助記憶装置４３と、キーボード、マウス、タッチパネルなどからなる入
力装置４４と、モニタ（ディスプレイ）等からなる出力装置４５と、他の情報処理装置と通信を行う通信装置４６とを備える。

次に、各情報処理装置が備える機能について説明する。
＜個人情報分析装置１０＞
図３は、個人情報分析装置１０が備える主な機能の一例を説明する図である。個人情報分析装置１０は、分析実行部１１、及び分析結果評価部１２を備える。

分析実行部１１は、個人情報を利用した、所定の事項（以下、分析事項という）に関する分析の依頼に対して、分析を行うために必要な項目（以下、必要データ項目という。）に対応づけられている複数の個人情報に基づき第１の分析結果を生成すると共に、その複数の個人情報を匿名化し、匿名化した情報（以下、匿名加工情報ともいう。）に基づき分析の依頼に対する第２の分析結果を生成する。

なお、分析実行部１１は、個人情報を分析のために使用するための条件であるポリシーに基づき前記分析に使用する個人情報３５を特定し、特定した個人情報３５に基づき、第１の分析結果及び第２の分析結果を生成する。

分析結果評価部１２は、分析実行部１１が生成した第１の分析結果と第２の分析結果との差分の情報（例えば、分析結果の評価値の差によって表す）を生成する。

なお、個人情報分析装置１０が使用した各個人情報３５、第１の分析結果、第２の分析結果、及び差分の情報（例えば評価値）は、各分析者の依頼ごとに、利用者別データベース５０に格納される。なお、利用者別データベース５０に記憶される情報は、ポリシーに応じて匿名化や暗号化が施される場合がある。

なお、分析実行部１１及び分析結果評価部１２は、外部からのデータアクセスが制限され、また外部へのデータの送信が制限されている所定のデータ処理部１９に格納される。データ処理部１９は、例えば、ソフトウェア的又はハードウェア的に実現される。ハードウェア的には、例えば、個人情報分析装置１０と別の情報処理装置やデバイス（例えば、メモリや暗号化プロセッサ）を設けることによって実現される。また、ソフトウェア的には、個人情報分析装置１０で動作しているＯＳ（Operating System）と異なるＯＳ、又は仮想ＯＳを設けることによって実現される。

また、個人情報分析装置１０は、分析の依頼を分析者端末２０から受信する依頼受信部１５と、この分析の依頼に基づき生成した、第１の分析結果及び第２の分析結果の差分の情報を分析者端末２０に送信する分析結果送信部１６とを備える。

＜分析者端末２０＞
次に、図４は、分析者端末２０が備える主な機能の一例を説明する図である。分析者端末２０は、分析依頼送信部２１、及び分析評価画面表示部２２を備える。

分析依頼送信部２１は、個人情報分析装置１０に分析依頼の情報を送信する。分析評価画面表示部２２は、個人情報分析装置１０が生成した第１の分析結果と第２の分析結果との差分の情報を表示する。

＜個人情報管理装置３０＞
図５は、個人情報管理装置３０が備える主な機能の一例を説明する図である。個人情報
管理装置３０は、データ保有者サービス提供部３１、及びデータ変換部３２を備える。

データ保有者サービス提供部３１は、複数の顧客（データ保有者）の個人情報３５を記憶している。

データ変換部３２は、個人情報３５を、個人情報分析装置１０が処理可能な所定のデータ形式に変換し、変換した個人情報３５を個人情報分析装置１０に送信する。例えば、データ変換部３２は、個人情報３５を暗号化して個人情報分析装置１０に送信する。すなわち、例えば、個人情報分析装置１０が予め個人情報管理装置３０に所定の暗号鍵を提供し、個人情報管理装置３０がこの鍵を用いて暗号化を行う。

ここで、個人情報管理装置３０は、前記のポリシーを、ポリシー管理テーブル３００に記憶している。
＜ポリシー管理テーブル３００＞
図６は、ポリシー管理テーブル３００の一例を示す図である。ポリシー管理テーブル３００は、個人情報３５の主体（顧客）の識別子が格納される個人ＩＤ３０１、個人ＩＤ３０１の顧客又は個人情報管理装置３０の管理主体等が個人情報３５を用いる分析者に対して要求する報酬額が格納される価格３０２、個人ＩＤ３０１の顧客が提供することができない個人情報３５の項目（以下、提供不可項目という）が格納される提供不可３０３の各項目を有する、１つ以上のレコードで構成される。

なお、ポリシー管理テーブル３００の項目としては他にも、分析に際して許容する匿名化の強度（例えば、ｋ匿名化（k-anonymization）におけるｋ値）、分析のために使用可
能な個人情報３５を記憶している個人情報管理装置３０（個人情報の提供を許可する情報銀行等）等を用いてもよい。

以上に説明した各情報処理装置の機能は、各情報処理装置のハードウェアによって、もしくは、各情報処理装置のプロセッサ４１が、主記憶装置４２や補助記憶装置４３に記憶されている各プログラムを読み出して実行することにより実現される。

また、これらのプログラムは、例えば、二次記憶デバイスや不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤなどの記憶デバイス、又は、ＩＣカード、ＳＤカード、ＤＶＤなどの、情報処理装置で読み取り可能な非一時的データ記憶媒体に格納される。

＜個人情報分析処理＞
次に、個人情報分析システム１により行われる個人情報分析方法を説明する。

図７は、個人情報分析システム１により行われる、個人情報の分析を行う処理（個人情報分析処理）の一例を説明するフロー図である。この処理は、例えば、分析者が、分析者端末２０に所定の分析開始の入力をすることによって開始される。

まず、分析者端末２０は、個人情報分析装置１０に対して依頼する分析の内容を示す情報（分析依頼情報）を生成し、生成した分析依頼情報を個人情報分析装置１０に送信する（ｓ１１）。なお、分析依頼情報は、例えば、分析者が、分析者端末２０に所定の情報を入力することによって生成される。

図８は、分析依頼情報の一例を示す図である。分析依頼情報２００は、分析対象を示す分析対象２０１、分析対象２０１の分析を行う際に行う個人情報３５の匿名化の方法を示す匿名化方法２０２、分析対象２０１の分析の結果に対する評価方法を示す評価方法２０３、分析対象２０１の分析に関して分析者が当該分析に対して支払い可能としている金額
を示す提案価格２０４、及び、分析対象の分析を行うために必要な項目として分析者が指定した項目（以下、指定データ項目という。）である指定データ項目２０５の各情報を含む。

次に、図７のｓ１３に示すように、個人情報分析装置１０は、分析者端末２０から受信した分析依頼情報２００に基づき、必要データ項目を特定する処理（以下、必要データ項目特定処理という。）を実行する。具体的には、例えば、個人情報分析装置１０は、分析対象２０１で指定されている全ての指定データ項目を、必要データ項目として特定する。

次に、個人情報分析装置１０は、必要データ項目の情報を含む個人情報３５の提供を、個人情報管理装置３０に要求する処理（個人情報要求処理）を実行する（ｓ１５）。具体的には、例えば、個人情報分析装置１０は、ｓ１７で特定した必要データ項目の情報を個人情報管理装置３０に送信する。

なお、個人情報分析装置１０は、通信可能な個人情報管理装置３０が複数ある場合は、その複数のそれぞれの個人情報管理装置３０に対して、前記の要求を送信するようにしてもよい。

個人情報管理装置３０は、個人情報分析装置１０から要求を受信すると、必要データ項目の情報を含んでいる個人情報３５（以下、対象個人情報という。）を特定する処理（以下、対象個人情報特定処理という。）を実行する（ｓ１７）。

＜対象個人情報特定処理＞
ここで、図９は、本実施形態における対象個人情報特定処理の一例を説明するフロー図である。個人情報管理装置３０は、ポリシー管理テーブル３００を読み込み（ｓ１０１）、必要データ項目の情報を保有し、かつ分析依頼情報２００に指定されている条件を満たすポリシーを有している個人（顧客）を全て特定する（ｓ１０３）。具体的には、例えば、個人情報管理装置３０は、ポリシー管理テーブル３００において、価格３０２が分析依頼情報２００の提案価格２０４以下であり、提供不可３０３に必要データ項目が含まれていないレコードを全て特定する。

そして、個人情報管理装置３０は、特定した全ての個人の個人情報３５を、対象個人情報とする（ｓ１０５）。以上で対象個人情報特定処理は終了する（ｓ１０７）。

次に、図７のｓ１９に示すように、個人情報管理装置３０は、特定した対象個人情報を個人情報分析装置１０に送信する。個人情報分析装置１０は、受信した対象個人情報に基づき、分析者端末２０からの依頼に対する分析結果（第１の分析結果）を生成する。また個人情報管理装置３０は、生成した第１の分析結果に対する評価値（以下、第１評価値という。）を、分析者端末２０からの依頼で指定された評価方法によって算出する処理（第１評価値算出処理）を実行する（ｓ２１）。具体的には、例えば、個人情報分析装置１０は、分析依頼情報２００における評価方法２０３が示す評価方法によって、第１評価値を算出する。

また、個人情報分析装置１０は、受信した対象個人情報を、分析者端末２０からの依頼で指定された匿名化方法により匿名化する。そして個人情報分析装置１０は、この匿名化した情報に基づき、分析者端末２０からの依頼に対する分析結果（第２の分析結果）を作成する。また個人情報管理装置３０は、算出した第２の分析結果に対する評価値（以下、第２評価値という。）を、分析者端末２０からの依頼で指定された評価方法によって算出する処理（第２評価値算出処理）を実行する（ｓ２３）。

具体的には、例えば、個人情報分析装置１０は、分析依頼情報２００における匿名化方法２０２が示す匿名化方法によって、対象個人情報の必要データ項目のうち個人を特定可能な項目（例えば、氏名）を匿名加工することにより、対象個人情報に関する新たな情報（匿名化した情報）を作成し、その匿名化した新たな情報に基づき第２の分析結果を作成する。

なお、この際、個人情報分析装置１０は、匿名化の強度を設定しているものとする。例えば、分析者端末２０により指定された匿名化がｋ－匿名化（k-anonymization）である
場合は、ｋ＝４等とする。なお、分析依頼情報２００に匿名化の強度の指定が含まれている場合には、その強度を設定する。

なお、個人情報分析装置１０は、所定の条件を満たす場合（例えば、対象個人情報の大きさやその個人の数が所定の閾値を超えている場合、分析依頼情報２００により指定があった場合等）は、対象個人情報の一部のみを用いて（サンプリングを行って）第１の分析結果及び第２分析結果を生成してもよい。

次に、個人情報分析装置１０は、第２の分析結果の評価値（第２評価値）と、第１の分析結果の評価値（第１評価値）との差分の情報とを生成し、生成した差分の情報を分析者端末２０に送信する（ｓ２５）。具体的には、例えば、個人情報分析装置１０は、評価値の差、又は評価値の差の絶対値を算出する。なお、個人情報分析装置１０は、第２評価値算出処理で第２評価値を複数算出した場合はその第２評価値の全てについて差分の情報を生成する。

分析者端末２０は、個人情報分析装置１０から受信した差分の情報に基づき、分析の評価を示す画面（以下、分析評価画面という。）を表示する（ｓ２７）。

＜分析評価画面＞
図１０は、分析者端末２０が表示する分析評価画面の一例である。分析評価画面には、分析依頼情報２００にて指定された指定データ項目の表示欄１００６、匿名化されていない個人情報３５による分析結果（第１の分析結果）による第１評価値が表示される第１評価値表示欄１００１と、匿名化された個人情報３５による分析結果（第２の分析結果）による第２評価値が表示される第２評価値表示欄１００３と、第１評価値及び第２評価値の差分の情報が表示される差分表示欄１００５とが設けられる。なお、個人情報分析処理でサンプリングを行った場合には、サンプリングを行った旨のサンプリング表示１００８がなされる。

この分析評価画面１０００により、分析者は、個人情報３５をそのまま用いて分析を行った場合の分析結果と、分析依頼情報２００で指定した匿名化により加工された個人情報３５を用いて分析を行った場合の分析結果との品質の違いを確認することができる。

また、分析評価画面１０００には、分析者が第２の分析結果の情報（例えば、匿名加工情報）を取得する際に選択される承認欄１００７と、分析者が分析を再度行いたい場合に選択される再試行欄１００９とが表示される。分析者は、今回の分析内容に満足しない場合は、再試行欄１００９を選択することで、異なる分析方法にて分析を再度行うことができる。

すなわち、図７のｓ２９に示すように、分析者端末２０は、本分析を承認するか否かを判定する。具体的には、例えば、分析者端末２０は、分析評価画面１０００の承認欄１００７又は再試行欄１００９の選択を受け付ける。

本分析が承認されなかった場合は（ｓ２９：ＮＯ）、分析者端末２０は、異なる条件で分析を依頼すべく、ｓ１１の処理を繰り返す。他方、本分析が承認された場合は（ｓ２９：ＹＥＳ）、分析者端末２０は、匿名加工情報の送信要求を個人情報分析装置１０に送信する（ｓ３１）。

個人情報分析装置１０は、この要求を受信すると、先に作成した匿名加工情報を分析者端末２０に送信する（ｓ３３）。分析者端末２０は、匿名加工情報を受信し、分析者はこの匿名加工情報を自由に利用することができる。

以上のように、本実施形態の個人情報分析システム１は、分析を行うために必要な項目（データ項目）に対応づけられている複数の個人情報３５に基づき第１の分析結果を生成すると共に、その複数の個人情報３５を匿名化し、匿名化した情報に基づき分析の依頼に対する第２の分析結果を生成し、生成した第１の分析結果と第２の分析結果との差分の情報を生成するので、匿名化された個人情報（匿名加工情報）による分析結果と、匿名化せずに行われた分析結果との質の差異についての情報を分析依頼者に提供することができるので、分析依頼者は、匿名加工情報による分析結果の分析精度を知ることができる。他方で、個人情報のデータ保有者は、この分析によって本人の情報が開示されることもない。このように、本実施形態の個人情報分析装置１０によれば、個人情報を保護しつつこれを利用した有用な情報を第三者に提供することができる。

［第２実施形態］
第１実施形態では、個人情報分析装置１０は、分析者端末２０から指定された分析方法に基づいて分析結果を生成したが、本実施形態の個人情報分析装置１０は、分析者端末２０から指定されていない分析方法によっても分析結果を生成する。

以下、本実施形態の個人情報分析装置１０が備える構成について、第１実施形態と異なる部分について説明する。

まず、本実施形態の個人情報分析装置１０の分析実行部１１は、分析の依頼において指定されている、個人情報の分析手法により第１の分析結果及び第２の分析結果を生成すると共に、分析の依頼において指定されていない、個人情報の分析手法により他の第１の分析結果及び他の第２の分析結果を生成する。

そして、分析結果評価部１２は、指定されている分析手法により生成した第１の分析結果と第２の分析結果との差分の情報（第１差分情報）を生成すると共に、指定されていない分析手法により生成した他の第１の分析結果及び他の第２の分析結果との差分の情報（第２差分情報）を生成する。

例えば、分析の依頼には、分析を行うために使用する項目（データ項目）が指定され、分析実行部１１は、指定された項目（指定データ項目）と異なる項目（他データ項目）に対して他の第１の分析結果及び他の第２の分析結果を生成する。

分析評価画面表示部１３は、第１差分情報及び第２差分情報を表示する。

ここで、前記のデータ項目の組み合わせは、以下のデータ項目管理テーブル４００に記憶されている。
（データ項目管理テーブル４００）
図１１は、データ項目管理テーブル４００の一例を示す図である。データ項目管理テーブル４００は、分析事項とデータ項目との対応関係を記憶しており、分析事項が格納される分析事項名４０１、分析事項名４０１の分析事項の分析を行うために必要な１以上の、
個人情報に関するデータ項目が格納されるデータ項目名４０２の各項目を有する、少なくとも１つ以上のレコードで構成される。なお、データ項目は複数の項目の組み合わせからなる場合がある。また、本実施形態では同一の内容の分析事項名４０１に対して、データ項目の組み合わせ（データ項目名４０２）が複数ある場合がある。

次に、本実施形態における個人情報分析処理について説明する。本実施形態の個人情報分析処理は、必要データ項目特定処理が第１実施形態と異なる。

図１２は、第２実施形態において行われる必要データ項目特定処理の一例を説明するフロー図である。個人情報分析装置１０は、まず、分析者端末２０から分析依頼情報２００を受信すると、受信した分析依頼情報２００の分析対象２０１において指定されている指定データ項目を、必要データ項目のパターンの一つとして特定する（ｓ２０１）。

また、個人情報分析装置１０は、他のパターンの必要データ項目として、指定データ項目以外の、分析事項に対するデータ項目の全てを特定する（ｓ２０３）。具体的には、例えば、個人情報分析装置１０は、データ項目管理テーブル４００において、分析依頼情報２００の分析対象２０１の内容が分析事項名４０１の分析事項に格納されている全てのレコードのデータ項目名４０２の内容を取得する。

以上で必要データ項目特定処理は終了する（ｓ２０５）。そして、個人情報分析装置１０は、特定した各必要データ項目に対応する個人情報３５の提供を、個人情報管理装置３０に要求する。

なお、その後の個人情報分析処理は第１実施形態と同様であり、個人情報分析装置１０は、個人情報管理装置３０から受信した、各必要データ項目に対応する対象個人情報に基づき、第１の分析結果、第１評価値、第２の分析結果、及び第２評価値を生成又は算出する。そして、個人情報分析装置１０は、各第２評価値と第１評価値との差分の情報をそれぞれ生成し、生成した各差分の情報を分析者端末２０に送信する。

図１３は、第２実施形態における分析評価画面１０００の一例を示す図である。同図に示すように、この分析評価画面１０００には、第１実施形態と同様に、指定データ項目の表示欄１００６、第１評価値表示欄１００１、第２評価値表示欄１００３、及び、第１差分情報に関する差分表示欄１００５が表示される他、他データ項目が表示される他データ項目の表示欄１０１６、他データ項目による分析に基づく第１評価値が表示される他第１評価値表示欄１０１１、他データ項目による分析に基づく第２評価値が表示される他第２評価値表示欄１０１３、及び、第２差分情報に関する他差分表示欄１０１５が表示される。

また、分析評価画面１０００には、再試行欄１００９の他、分析者が指定データ項目による第２の分析結果の情報（例えば、匿名加工情報）を取得する際に選択される承認欄１０１７、及び、分析者が他データ項目による第２の分析結果の情報（例えば、匿名加工情報）を取得する際に選択される承認欄１０１８が表示される。なお、他データ項目による分析結果が複数ある場合は、それらから任意の分析結果を選択するようにしてもよい。

この分析評価画面１０００により、分析者は、自身が指定したデータ項目（指定データ項目）による分析の品質と、それ以外のデータ項目（他データ項目）による分析の品質との違いを確認でき、それらから所望の匿名加工情報を取得することができる。

なお、本実施形態では、分析者が指定する分析方法として、個人情報に係るデータ項目の指定を挙げたが、他にも、分析における費用の指定、データ保有者の指定、情報の新し
さ（個人情報３５の最終更新日等）、評価方法の指定等、様々な分析方法の指定を行うことができる。

［第３実施形態］
第３実施形態では、個人情報分析装置１０は、分析者端末２０から指定された匿名化方法を前提として複数の種類の強度での匿名化を行い、これらを分析者に提示する。以下、第１実施形態と異なる部分について説明する。

まず、本実施形態の個人情報分析装置１０は分析実行部１１を備えるが、この分析実行部１１は、分析の依頼において指定された匿名化方法において、複数の種類の強度の匿名化を行うことにより複数の第２の分析結果を生成する機能を有する。

次に、本実施形態における個人情報分析処理について説明する。本実施形態の個人情報分析処理は、第２評価値算出処理が第１実施形態と異なる。

図１４は、第３実施形態における第２評価値算出処理の一例を説明するフロー図である。まず、個人情報分析装置１０は、分析依頼情報２００の匿名化方法２０２で指定された匿名化を行う場合のその強度を、複数設定する（ｓ３０１）。例えば、個人情報分析装置１０は、分析依頼情報２００の匿名化方法２０２でｋ－匿名化が指定されていた場合は、ｋ＝３、４、５と設定する。

なお、設定する匿名化の強度のパターンは、例えば、予め設定したパターンを用いてもよいし、分析依頼情報２００に強度の指定があった場合は、その強度の近傍値を用いてもよい。

そして個人情報分析装置１０は、設定した各強度により、第２の分析結果及びその第２評価値を算出する（ｓ３０３）。

個人情報分析装置１０は、算出した複数の第２評価値のうち高値の第２評価値を算出した匿名化の強度を特定すると共に、その高値の第２評価値を最終的な第２評価値として記憶する（ｓ３０５）。なお、「高値の第２評価値」とは、例えば、所定の閾値を超える第２評価値としてもよいし、相対的に値の高い所定数の第２評価値としてもよい。以上で第２評価値算出処理は終了する。

図１５は、第３実施形態における分析評価画面１０００の一例を示す図である。同図に示すように、この分析評価画面１０００には、匿名化の各強度について、その強度の表示欄１０２１、第１評価値の表示欄１０２３、第２評価値の表示欄１０２５、及び差分の情報が表示される差分表示欄１０２７がそれぞれ表示される。

また、分析評価画面１０００には、再試行欄１００９の他、分析者が匿名化のどの強度に基づく分析による第２の分析結果の情報（例えば、匿名加工情報）を取得するかを選択する選択欄１０２９が表示される。

この分析評価画面１０００を参照することにより、分析者は、所望の（例えば、評価値は高いが、匿名化の強度が高すぎない）匿名加工情報を取得することができる。

［第４実施形態］
第４実施形態では、個人情報分析装置１０は、分析結果及び評価値を算出する際に使用するデータから外部に漏洩しないように、予めデータに暗号化を行う。以下、第１実施形態と異なる部分について説明する。

まず、本実施形態の個人情報分析装置１０は分析実行部１１を備えるが、この分析実行部１１は、分析の依頼に対応する複数の個人情報を暗号化し、暗号化した複数の個人情報に基づき第１の分析結果を生成すると共に、暗号化した個人情報を匿名化し、匿名化した情報に基づき分析の依頼に対応する第２の分析結果を生成する機能を有する。

次に、本実施形態における個人情報分析処理について説明する。
図１６は、第４実施形態における個人情報分析処理の一例を示すフロー図である。第１実施形態と同様にｓ１１～ｓ１７の処理が実行された後、情報管理装置３０は、対象個人情報を個人情報分析装置１０に送信する（ｓ１９）。個人情報分析装置１０は、個人情報管理装置３０から対象個人情報を受信すると、当該対象個人情報に対して暗号化処理を施し（ｓ４０）、この暗号化された情報に対して第１評価値算出処理（ｓ２１）、及び第２評価値算出処理（ｓ２３）を実行する。具体的には、例えば、個人情報分析装置１０は、当該対象個人情報に対して秘匿ｋ－匿名化、秘密分散、準同型暗号等を用いて暗号化（秘匿化）を行う。

その後のｓ２５－ｓ２９の処理は第１実施形態と同様であり、個人情報分析装置１０は、分析者端末２０の分析評価画面１０００により分析者から指定された分析の匿名加工情報について、暗号化された状態で作成された当該匿名加工情報を分析者端末２０に送信する（ｓ３１、ｓ３３）。なお、個人情報分析装置１０は、分析者端末２０に匿名加工情報を送信する際は、暗号化されたままの情報を送信してもよいし、復号化してから送信してもよい。

［第５実施形態］
図１７は、第５実施形態における個人情報分析システム１のシステム構成の一例を示す図である。同図に示すように、本実施形態では、個人情報分析システム１が複数存在し、これらの個人情報分析システム１の間は、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide
Area Network）、インターネット、又は専用線等の、有線又は無線の通信ネットワーク
８によって通信可能に接続されている。

ただし、本実施形態では、個人情報分析システム１（個人情報管理装置３０）のそれぞれは、同種のデータ又は概念的には類似するデータであるが、データ項目としては異なる項目を有する個人情報３５を管理している。本実施形態の個人情報分析システム１は、これらの複数の個人情報分析システム１のうち適当な他の個人情報分析システム１から個人情報３５を取得して分析を行う。以下、第１実施形態と異なる部分について説明する。

まず、本実施形態の個人情報分析装置１０は分析実行部１１を備えるが、この分析実行部１１は、個人情報３５を記憶している他の個人情報分析システム１から、分析を行うために必要な項目（データ項目）に対応づけられている個人情報３５を記憶している個人情報分析システム１を特定し、特定した個人情報分析システム１から当該個人情報３５を取得し、取得した個人情報３５に基づき第１の分析結果及び第２の分析結果を生成する機能を有する。

この機能を実現するため、各個人情報分析装置１０は、互いに概念的に類似するデータ項目を定義した類似項目管理テーブルを記憶している。

図１８は、類似項目管理テーブルのレコード構成の一例を示す図である。類似項目管理テーブル５００は、データ項目の名称が格納される項目名５０１、及び、項目名５０１のデータ項目に概念的に類似し又は同種であるデータ項目のリストが格納される類似項目名５０２の各項目を有する１つ以上のレコードで構成されている。

次に、本実施形態における個人情報分析処理について説明する。本実施形態の個人情報分析処理は、個人情報要求処理が第１実施形態と異なる。

図１９は、第５実施形態における個人情報要求処理の一例を示すフロー図である。まず、個人情報分析装置１０は、第１実施形態と同様に、必要データ項目の情報を含む個人情報３５の提供の要求を、自身の個人情報分析システム１内の各個人情報管理装置３０に送信し、その後、対象個人情報を当該個人情報管理装置３０から受信する（ｓ６０１）。

次に、個人情報分析装置１０は、必要データ項目の情報を含む個人情報３５の提供の要求を、他の個人情報分析システム１に送信する（ｓ６０３）。具体的には、個人情報分析装置１０は、他の個人情報分析システム１の個人情報管理装置３０に当該要求を送信する。

当該要求を受信した個人情報分析システム１は、受信した要求が示す必要データ項目と概念的に類似するデータ項目（類似項目。同種のデータ項目を含む。）検索し、検索したデータ項目を、要求の送信元の個人情報分析装置１０に送信する（ｓ６０５）。具体的には、例えば、個人情報分析装置１０は、類似項目管理テーブル５００を参照し、項目名５０１に指定データ項目が格納されているレコードの類似項目名５０２の内容を取得し、これらを個人情報分析装置１０に送信する。

データ項目を受信した個人情報分析装置１０は、受信したデータ項目についての個人情報３５の提供の要求を、当該データ項目を送信してきた他の個人情報分析システム１（個人情報分析装置１０）に送信する（ｓ６０７）。

なお、この際、個人情報分析装置１０は、他の個人情報分析システム１（個人情報分析装置１０）から、当該データ項目に係る個人情報３５のデータサイズをまず取得し、そのデータサイズが所定の条件を満たす場合（例えば、データサイズが所定の閾値以上、又は所定の閾値以下である場合）にのみ、その個人情報の提供の要求を送信するようにしてもよい。これにより、所望のデータ精度の個人情報３５を記憶している個人情報分析システム１に基づいて、第１の分析結果及び第２の分析結果を生成することができる。

個人情報３５の提供の要求を受信した他の個人情報分析システム１（個人情報分析装置１０）は、当該要求に係る、個人情報分析システム１内における個人情報３５を、要求の送信元の個人情報分析装置１０に送信する（ｓ６０７）。そして、当該個人情報分析装置１０は、受信した個人情報３５を対象個人情報として記憶する。以上で個人情報要求処理は終了する（ｓ６０９）。
その後の処理は、第１実施形態と同様である。

以上の各実施形態の説明は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明はその趣旨を逸脱することなく、変更、改良され得ると共に本発明にはその等価物が含まれる。

例えば、本実施形態では、個人情報管理装置３０は、個人情報３５を暗号化して個人情報分析装置１０に送信する場合を示したが、この暗号化は行われなくてもよい。

また、本実施形態では、個人情報管理装置３０がポリシーを記憶しているものとしたが、個人情報分析装置１０がポリシーを記憶していてもよい。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態
の個人情報分析システム１においては、前記分析実行部は、前記分析の依頼において指定されている分析手法により前記第１の分析結果及び前記第２の分析結果を生成すると共に、前記分析の依頼において指定されていない分析手法により他の第１の分析結果及び他の第２の分析結果を生成し、前記分析結果評価部は、前記指定されている分析手法により生成した前記第１の分析結果と前記第２の分析結果との差分の情報である第１差分情報を生成すると共に、前記指定されていない分析手法により生成した前記他の第１の分析結果及び前記他の第２の分析結果との差分の情報である第２差分情報を生成する、としてもよい。

このように、分析の依頼において指定されている、個人情報の分析手法及び、指定されていない分析方法による分析をそれぞれ行い、これらに対応する差分の情報を生成することで、分析の依頼者は、自身が想定していなかったような分析手法による分析結果についての情報を得ることができる。これにより、依頼者は、自身が想定しなかったような高い品質の分析結果及び匿名加工情報を得ることができる。

また、本実施形態の個人情報分析システム１においては、前記分析の依頼には、前記分析を行うために使用する前記項目が指定され、前記分析実行部は、前記指定された項目と異なる項目に対して前記他の第１の分析結果及び前記他の第２の分析結果を生成する、としてもよい。

このように、分析の依頼において指定されているデータ項目及び指定されていないデータ項目による分析をそれぞれ行い、これらに対応する差分の情報を生成することで、分析の依頼者は、自身が想定していなかったような項目に基づく分析結果についての情報を得ることができる。これにより、依頼者は、より複雑な観点からの分析結果及び匿名加工情報を得ることができる。

また、本実施形態の個人情報分析システム１においては、前記分析実行部は、前記分析の依頼において指定された匿名化方法において、複数の種類の強度の匿名化を行うことにより複数の第２の分析結果を生成する、としてもよい。

このように、複数の種類の強度の匿名化を行うことで、例えば、分析依頼者は、個人情報３５の匿名性が確保されつつも具体性の高い個人情報３５に基づく分析結果を得ることができる。

また、本実施形態の個人情報分析システム１においては、前記分析実行部は、前記分析の依頼に対応する前記複数の個人情報を暗号化し、暗号化した複数の個人情報に基づき前記第１の分析結果を生成すると共に、前記暗号化した個人情報を匿名化し、匿名化した情報に基づき前記分析の依頼に対応する前記第２の分析結果を生成する、としてもよい。

このように、個人情報３５の分析に際して暗号化を施すことにより、分析処理の過程において個人情報３５が漏洩しても、これを第三者が利用することを防ぐことができる。これにより、個人情報３５を効果的に保護することができる。

また、本実施形態の個人情報分析システム１においては、前記分析実行部は、前記個人情報を記憶している他の個人情報分析システムから、前記分析を行うために必要な項目に対応づけられている個人情報を記憶している個人情報分析システムを特定し、特定した個人情報分析システムから当該個人情報を取得し、取得した個人情報に基づき前記第１の分析結果及び前記第２の分析結果を生成する、としてもよい。

このように、他の個人情報分析システム１から、分析を行うために必要な項目に対応づ
けられている個人情報３５を記憶している個人情報分析システム１から特定し、その個人情報３５に基づき分析結果を生成することで、例えば、自身の個人情報分析システム１と他の個人情報分析システム１とでデータ項目が異なっている場合でも、対応するデータ項目に基づいて分析結果を生成することができるようになる。これにより、個人情報分析システム１間での連携性を高めることができ、より多くの個人情報３５を利用することができるようになる。

また、本実施形態の個人情報分析システム１においては、前記分析実行部は、前記個人情報を前記分析のために使用するための条件であるポリシーに基づき前記分析に使用する個人情報を特定し、特定した個人情報に基づき、前記第１の分析結果及び前記第２の分析結果を生成する、としてもよい。

このように、個人情報３５を分析のために使用するためのポリシーに基づき分析結果を生成することで、分析に使用する個人情報３５に対するコントロールを行うことができる。これにより、個人情報３５をより効果的に保護することができる。

また、本実施形態の個人情報分析システム１においては、前記分析実行部は、前記複数の個人情報から選択した一部の個人情報に基づき前記第１の分析結果を生成すると共に、前記一部の個人情報を匿名化し、匿名化した情報に基づき前記第２の分析結果を生成する、としてもよい。

このように、複数の個人情報３５から選択した一部の個人情報に基づき、分析結果の生成及び匿名化を行うことで、例えば個人情報３５が膨大に存在し処理に時間を要する場合であっても、適当な時間内で分析依頼者に分析結果や差分に関する情報を提供することができる。

また、本実施形態の個人情報分析システム１においては、前記生成した第１の分析結果と第２の分析結果との差分の情報を表示する分析評価画面表示部を備える、としてもよい。

これにより、分析依頼者は、匿名化された個人情報３５（匿名加工情報）による分析結果と、匿名化せずに行われた分析結果との質の差異についての情報を知ることができる。

また、本実施形態の個人情報分析システム１においては、前記第１差分情報及び前記第２差分情報を表示する分析評価画面表示部を備える、してもよい。

これにより、分析依頼者は、依頼として指定した分析手法に基づく結果と、指定していない分析手法に基づく結果との質の差異についての情報を知ることができる。

１ 個人情報分析システム、１０ 個人情報分析装置、２０ 分析者端末、３０ 個人情報管理装置、３５ 個人情報、１１ 分析実行部、１２ 分析結果評価部

Claims (14)

1. 個人情報を利用した、所定の事項に関する分析の依頼に対して、第１分析方法により必要な項目に対応づけられている複数の個人情報に基づき第１の分析結果を生成すると共に、前記複数の個人情報を匿名化し、匿名化した情報に基づき前記分析の依頼に対する第２の分析結果を生成する分析実行部と、
   前記生成した第１の分析結果と第２の分析結果との差分の情報を生成する分析結果評価部と、
   を備える、個人情報分析システム。
2. 前記分析実行部は、前記分析の依頼において指定されている、前記第１分析方法により前記第１の分析結果及び前記第２の分析結果を生成すると共に、前記分析の依頼において指定されていない、第２分析方法により他の第１の分析結果及び他の第２の分析結果を生成し、
   前記分析結果評価部は、前記第１分析方法により生成した前記第１の分析結果と前記第２の分析結果とに基づく第１の前記差分の情報を生成すると共に、前記第２分析方法により生成した前記他の第１の分析結果及び前記他の第２の分析結果とに基づく第２の前記差分の情報を生成する、
   請求項１に記載の個人情報分析システム。
3. 前記分析の依頼には、前記第１分析方法を行うために使用する、個人情報の項目が指定され、
   前記分析実行部は、前記第２分析方法において前記指定された項目と異なる項目に対して前記他の第１の分析結果及び前記他の第２の分析結果を生成する、
   請求項２に記載の個人情報分析システム。
4. 前記分析実行部は、前記分析の依頼で指定されている匿名化方法において、複数の種類の強度の匿名化を行うことにより複数の第２の分析結果を生成し、複数の前記差分の情報を生成する、
   請求項１に記載の個人情報分析システム。
5. 前記分析実行部は、前記分析の依頼に関する前記複数の個人情報を暗号化し、暗号化した複数の個人情報に基づき前記第１の分析結果を生成すると共に、前記暗号化した個人情報を匿名化し、匿名化した情報に基づき前記分析の依頼に対応する前記第２の分析結果を生成する、
   請求項１に記載の個人情報分析システム。
6. 前記分析実行部は、前記個人情報を記憶している他の個人情報分析システムから、前記第１分析方法に必要な項目に対応づけられている個人情報を記憶している個人情報分析システムを特定し、特定した個人情報分析システムから当該個人情報を取得し、取得した個人情報に基づき前記第１の分析結果及び前記第２の分析結果を生成する、
   請求項１に記載の個人情報分析システム。
7. 前記分析実行部は、前記個人情報を前記分析のために使用するための条件であるポリシーに基づき前記分析に使用する個人情報を特定し、特定した個人情報に基づき、前記第１の分析結果及び前記第２の分析結果を生成する、
   請求項１に記載の個人情報分析システム。
8. 前記分析実行部は、前記複数の個人情報から選択した一部の個人情報に基づき前記第１の分析結果を生成すると共に、前記一部の個人情報を匿名化し、匿名化した情報に基づき前記第２の分析結果を生成する、
   請求項１に記載の個人情報分析システム。
9. 前記生成した第１の分析結果と第２の分析結果との差分の情報を表示する分析評価画面表示部を備える、
   請求項１乃至８のいずれか一項に記載の個人情報分析システム。
10. 前記分析評価画面表示部は、表示された前記差分の情報に対する処理の入力を受け付ける入力欄を表示する、
    請求項９に記載の個人情報分析システム。
11. 前記分析評価画面表示部は、前記入力欄において複数の前記差分の情報を表示する、
    請求項１０に記載の個人情報分析システム。
12. 前記分析評価画面表示部は、前記複数の差分の情報を表示すると共に、前記入力欄に対する、前記複数の差分の情報の選択の入力を受け付ける、
    請求項１１に記載の個人情報分析システム。
13. 前記入力欄への入力として、分析の再試行の依頼を受け付けた場合、他の分析方法による分析を依頼する分析依頼送信部を備える、
    請求項１０乃至１２のいずれか一項に記載の個人情報分析システム。
14. 前記分析評価画面表示部は、前記生成した分析結果を承認するか否かを判定し、承認しないと判定した場合には、前記分析実行部に、異なる分析方法により分析結果を生成させる、
    請求項９に記載の個人情報分析システム。

Images