WO2016121493A1 - 匿名化処理装置、匿名化処理方法及びプログラム - Google Patents

匿名化処理装置、匿名化処理方法及びプログラム Download PDF

Info

Publication number
WO2016121493A1
WO2016121493A1 PCT/JP2016/050737 JP2016050737W WO2016121493A1 WO 2016121493 A1 WO2016121493 A1 WO 2016121493A1 JP 2016050737 W JP2016050737 W JP 2016050737W WO 2016121493 A1 WO2016121493 A1 WO 2016121493A1
Authority
WO
WIPO (PCT)
Prior art keywords
anonymization
data
anonymized
output
unit
Prior art date
Application number
PCT/JP2016/050737
Other languages
English (en)
French (fr)
Inventor
敬祐 ▲高▼橋
光佑 矢葺
祐亮 組橋
Original Assignee
株式会社エヌ・ティ・ティピー・シーコミュニケーションズ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社エヌ・ティ・ティピー・シーコミュニケーションズ filed Critical 株式会社エヌ・ティ・ティピー・シーコミュニケーションズ
Priority to US15/545,834 priority Critical patent/US10817621B2/en
Priority to DK16743097.4T priority patent/DK3252650T3/da
Priority to EP16743097.4A priority patent/EP3252650B1/en
Publication of WO2016121493A1 publication Critical patent/WO2016121493A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16H—HEALTHCARE INFORMATICS, i.e. INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR THE HANDLING OR PROCESSING OF MEDICAL OR HEALTHCARE DATA
    • G16H10/00—ICT specially adapted for the handling or processing of patient-related medical or healthcare data
    • G16H10/60—ICT specially adapted for the handling or processing of patient-related medical or healthcare data for patient-specific data, e.g. for electronic patient records
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/28—Databases characterised by their database models, e.g. relational or object models
    • G06F16/284—Relational databases
    • G06F16/285—Clustering or classification
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
    • G06Q50/10—Services
    • G06Q50/22—Social work or social welfare, e.g. community support activities or counselling services

Definitions

  • the present invention relates to an anonymization processing device, an anonymization processing method, and a program.
  • anonymization processing is performed by deleting a predetermined column of personal information in a batch process from a database storing a large amount of personal information.
  • the disclosed technique has been made in view of the above, and an object thereof is to provide a technique capable of anonymizing data that is continuously input while maintaining real-time characteristics.
  • the anonymization processing device of the disclosed technology is an anonymization processing device that anonymizes input data and outputs anonymized output data, the input unit receiving the input data, and the input data Anonymizing the data, generating anonymized data corresponding to the anonymized input data, a first storage unit storing the anonymized data, and storing in the first storage unit And generating a plurality of output data corresponding to each of the plurality of anonymized data, and outputting the plurality of anonymized data when the plurality of anonymized data satisfying the anonymity index And an output unit to be deleted from the first storage unit.
  • FIG. 1 is a diagram illustrating an overview of the anonymization processing device according to the embodiment.
  • the anonymization processing apparatus 10 receives input data including personal information from an external system or the like, and performs anonymization processing on the received input data. Moreover, the anonymization processing apparatus 10 outputs anonymized data (output data) to an external system or the like.
  • anonymization means removing information identifying an individual from personal information (removal), changing information identifying an individual stochastically (randomization), or increasing the accuracy of information identifying an individual.
  • Data processing method that makes it difficult to identify individuals by dropping (generalizing).
  • k-anonymity is known as an index for evaluating anonymity (anonymity index).
  • the anonymization processing device 10 In order to anonymize the input data in real time, the anonymization processing device 10 temporarily stores the input data and the anonymized data in the in-memory database, and the anonymized data is k ⁇ When anonymity is satisfied, anonymized data is output to an external system or the like.
  • the anonymization processing device 10 is intended to anonymize while maintaining real-time characteristics, unlike a system that accumulates all input data in a database and performs anonymization by appropriate batch processing. For this reason, the anonymization processing apparatus 10 cannot output the anonymized data immediately (for example, when the anonymized data cannot satisfy k-anonymity within a predetermined time, or in the in-memory database). When the number of stored records exceeds a predetermined threshold value), the data freshness is lowered. Therefore, the anonymized data is deleted from the in-memory database without being output to an external system or the like.
  • the anonymization processing apparatus 10 is the information which shows what anonymization method (removal, randomization, or generalization) is anonymized with respect to the input data, and the anonymization for every anonymization method Anonymization is performed based on information indicating the degree of conversion. Further, the anonymization processing device 10 learns an evaluation result (teacher data) as to whether the anonymized data satisfies the anonymity index or whether the anonymized data does not satisfy the anonymity index. Thus, it has a function of an on-line machine learning framework that adjusts how much generalization (hereinafter, sometimes referred to as “the degree of generalization”) is performed when information specifying an individual is generalized.
  • the degree of generalization an on-line machine learning framework that adjusts how much generalization
  • the anonymization processing apparatus 10 which concerns on this Embodiment It can also be applied to systems that handle personal information.
  • the anonymization processing device 10 uses an in-memory database in order to improve the processing speed, but other databases may be used.
  • the anonymization processing apparatus 10 uses k-anonymity as an anonymity index, but other anonymity indices may be used.
  • the anonymization processing device 10 uses removal, randomization, and generalization as an anonymization method, but is not limited to these anonymization methods, and uses other anonymization methods. You may do it.
  • FIG. 2 is a diagram illustrating an example of a hardware configuration of the anonymization processing device according to the embodiment.
  • the anonymization processing device 10 includes a CPU 101, a ROM 102, a RAM 103, an HDD 104, an operation unit 105, a display unit 106, a drive device 107, and a NIC (Network Interface card) 108.
  • the CPU 101 is a processor that performs overall control of the anonymization processing apparatus 10.
  • the CPU 101 executes programs such as an operating system, applications, and various services stored in the HDD 104 and implements various functions of the anonymization processing device 10.
  • the ROM 102 stores various programs and data used by the programs.
  • the RAM 103 is used as a storage area for loading a program, a work area for the loaded program, and the like.
  • the RAM 103 holds an in-memory database used when anonymization processing is performed.
  • Various information and programs are stored in the HDD 104.
  • the operation unit 105 is hardware for receiving an input operation from a user, and is, for example, a keyboard or a mouse.
  • the display unit 106 is hardware that performs display for the user.
  • the drive device 107 reads the program from the storage medium 109 storing the program.
  • the program read by the drive device 107 is installed in the HDD 104, for example.
  • the NIC 108 is a communication interface for connecting the anonymization processing device 10 to a network and transmitting / receiving data.
  • the storage medium 109 is a non-transitory storage medium.
  • Examples of the storage medium 109 include a magnetic storage medium, an optical disk, a magneto-optical storage medium, and a nonvolatile memory.
  • FIG. 3 is a diagram illustrating an example of a software configuration of the anonymization processing device according to the embodiment.
  • the anonymization processing device 10 includes a temporary storage unit 201, a setting information storage unit 202, an input unit 203, a machine learning unit 204, an anonymization processing unit 205, an output determination unit 206, and anonymity.
  • Pattern data DB storage unit 207 Each of these means can be realized by processing that one or more programs installed in the anonymization processing apparatus 10 cause the CPU 101 to execute.
  • the temporary storage unit 201 includes a pre-anonymization data DB (Database), a post-anonymization data DB, and an anonymization process management information DB.
  • the pre-anonymization data DB is a DB that stores pre-anonymization data (data before anonymization processing), and stores one pre-anonymization data for each record.
  • the post-anonymization data DB is a DB that stores post-anonymization data (data after anonymization processing), and stores one post-anonymization data for each record.
  • the anonymization process management information DB stores one anonymization process management information for each record.
  • the anonymization process management information associates pre-anonymization data with post-anonymization data, and includes progress of the anonymization process, anonymization method, and information indicating the anonymization level.
  • the temporary storage unit 201 is realized by an in-memory database built in the RAM 103.
  • the temporary storage unit 201 may be realized by a general database constructed in the HDD 104 or the like instead of the RAM 103
  • the setting information storage unit 202 stores various setting information related to the operation of the anonymization processing device 10.
  • the input unit 203, the machine learning unit 204, the anonymization processing unit 205, and the output determination unit 206 can refer to various setting information stored in the setting information storage unit 202 as necessary.
  • the input unit 203 receives input data from an external system or the like, adds a new record to the pre-anonymization data DB, and stores the received input data in the added record. Moreover, a new record is added to the anonymization process management information DB corresponding to the generated record.
  • the machine learning unit 204 includes an anonymization method indicating how to anonymize the pre-anonymization data based on a learning result by the teacher data, and information indicating an anonymization level for each anonymization method, Store in the anonymization process management information DB.
  • the machine learning unit 204 adjusts the degree of generalization based on the teacher data received from the outside or the teacher data received from the output determination unit 206. When the degree of generalization is adjusted, the machine learning unit 204 notifies the anonymization processing unit 205 to that effect by using RPC (Remote Procedure Call).
  • RPC Remote Procedure Call
  • the anonymization processing unit 205 anonymizes the pre-anonymization data based on the anonymization process management information corresponding to the pre-anonymization data, and adds a new record to the post-anonymization data DB, and the added record Store anonymous data. Further, when the anonymization processing unit 205 receives a notification from the machine learning unit 204 that the degree of generalization has been changed, the anonymization processing unit 205 performs anonymization processing again on the data that has already been anonymized.
  • the anonymization processing unit 205 is described later when the anonymized data cannot satisfy k-anonymity within a predetermined time, or when the number of records accumulated in the temporary storage unit 201 exceeds a predetermined threshold.
  • the data before anonymization, the data after anonymization, and the anonymization process management information are deleted from the temporary storage unit 201 in order of the generation date and time to be performed.
  • the output determination unit 206 searches the post-anonymization data stored in the post-anonymization data DB, and whether the post-anonymization data satisfies k-anonymity or is stored in the anonymization pattern DB storage unit 207 It is determined whether the anonymization pattern and the post-anonymization data match. If the post-anonymization data satisfies k-anonymity, or if the anonymization pattern matches the post-anonymization data, the output determination unit 206 determines that the post-anonymization data satisfies the anonymity index. The data after anonymization is output as output data. Further, the output determination unit 206 deletes the pre-anonymization data, post-anonymization data, and anonymization process management information corresponding to the output data from the temporary storage unit 201.
  • the output determination unit 206 does not satisfy the anonymity index.
  • the data after anonymization is not output as output data, but is left in the data DB after anonymization.
  • the output determination unit 206 notifies the machine learning unit 204 of the determination result as to whether the anonymity index is satisfied or not as teacher data.
  • the anonymization pattern DB storage unit 207 stores one or more anonymization patterns.
  • the anonymization pattern DB is generated from post-anonymization data determined to satisfy the anonymity index in the past.
  • the anonymization pattern DB is a database of patterns that satisfy the anonymity index.
  • the output determination unit 206 determines whether the post-anonymization data satisfies the anonymity index only by checking whether the post-anonymization data matches the anonymization pattern using the anonymization pattern DB. It can be carried out.
  • the anonymization processing device 10 includes k-anonymity index value, real-time property definition information, anonymity determination information, and output target information as setting information.
  • Such setting information is stored in the setting information storage unit 202.
  • the k-anonymity index value is a specific number of “k” used for the determination of k-anonymity.
  • the real-time property definition information is information that defines the pre-anonymization data and post-anonymization data retention periods (lifetimes) stored in the pre-anonymization data DB and the post-anonymization data DB.
  • the anonymity determination information is information indicating which column the output determination unit 206 should use to determine anonymity among various columns included in the anonymized data.
  • the output target information is information indicating which column is output as output data among various columns included in the anonymized data.
  • the output determination unit 206 generates output data by extracting a column indicated in the output target information from the anonymized data.
  • FIG. 5 is a diagram illustrating an example of a processing procedure of input data storage processing.
  • 6A and 6B are diagrams showing examples of pre-anonymization data and anonymization process management information. A processing procedure until input data is input to the input unit 203 and stored in the temporary storage unit 201 will be described with reference to FIGS. 5 and 6A to 6B.
  • step S301 upon receiving input data from an external system or the like, the input unit 203 generates a new record in the pre-anonymization data DB, and a record ID for uniquely identifying the record in the pre-anonymization data DB Is stored. Further, the input data is stored in the new record.
  • FIG. 6A is an example of pre-anonymization data added to the pre-anonymization data DB by the input unit 203.
  • the pre-anonymization data has a plurality of columns (record ID, name, age, current address, gender, date of reception, medical department, physician ID in charge, symptoms).
  • step S302 the input unit 203 generates a new record in the anonymization process management information DB, and stores a record ID for uniquely identifying the record in the anonymization process management information DB.
  • the input unit 203 stores the record ID of the pre-anonymization data generated in the processing procedure of step S301 and the date and time when the pre-anonymization data was generated in the processing procedure of step S301 in the new record.
  • FIG. 6B is an example of anonymization process management information added to the anonymization process management information DB by the input unit 203.
  • Anonymization process management information includes a plurality of columns (record ID, pre-anonymization data record ID, post-anonymization data record ID, anonymization method setting flag, anonymization method, anonymization level, anonymized flag, generation date and time)
  • the data record ID after anonymization, the anonymization method setting flag, the anonymization method, the anonymization level, and the anonymized flag are processed by the machine learning unit 204, the anonymization processing unit 205, and the output determination unit 206. Since the column is used, “NULL” or “FALSE” is set.
  • the generation date / time column is a column for storing the date / time when the pre-anonymization data is generated.
  • the input unit 203 sequentially stores the input data in the temporary storage unit 201 by repeatedly performing the processing procedure of step S301 and step S302 each time input data is input.
  • FIG. 7 is a diagram illustrating an example of a processing procedure for setting an anonymization method and an anonymization level.
  • FIG. 8 is a diagram illustrating an example of anonymization process management information in which an anonymization method and an anonymization level are set. A processing procedure in which the machine learning unit 204 sets the anonymization method and the anonymization level in the anonymization process management information will be described with reference to FIGS. 7 and 8.
  • the machine learning unit 204 searches the anonymization processing information DB, and extracts all records whose “anonymization method setting flag” is FALSE.
  • the anonymization method setting flag is a flag indicating whether the machine learning unit 204 has already set the anonymization method and the anonymization level.
  • the anonymization method setting flag is “FALSE”
  • the anonymization method setting flag is “TRUE”. In this case, the machine learning unit 204 indicates that the anonymization method and the anonymization level have been set.
  • the machine learning unit 204 sets the anonymization method and the anonymization level in the “anonymization method” and “anonymization level” columns of the record extracted in the processing procedure of step S401.
  • the “anonymization method” column stores information indicating which column is anonymized by which anonymization method among the columns of the pre-anonymization data.
  • the “anonymization level” column indicates the ratio at which randomization is performed when randomization is performed, or how much information identifying an individual is generalized when generalization is performed. Information is stored.
  • the anonymization process management information illustrated in FIG. 8 is an example of anonymization process management information in which the “anonymization method” and “anonymization level” columns are set by the machine learning unit 204.
  • step S401 when a plurality of records are extracted in the processing procedure of step S401, the machine learning unit 204 performs the processing of step S402 on all the records.
  • FIG. 9 is a diagram illustrating an example of a processing procedure of anonymization processing.
  • 10A and 10B are diagrams showing examples of post-anonymization data and anonymization process management information.
  • a processing procedure in which the anonymization processing unit 205 performs the anonymization process based on the anonymization process management information will be described with reference to FIGS. 9 and 10A to 10B.
  • step S501 the anonymization processing unit 205 extracts all records in which the “anonymization method setting flag” column is TRUE from the anonymization processing information DB.
  • step S502 the anonymization processing unit 205 searches the pre-anonymization data DB for the pre-anonymization data corresponding to the record extracted in the processing procedure of step S501.
  • step S503 the anonymization processing unit 205 performs the “anonymization method” and “anonymization level” columns of the anonymization processing information corresponding to the pre-anonymization data for the pre-anonymization data searched in step S502.
  • the anonymization process is performed according to the setting contents, and a new record is generated and stored in the data DB after anonymization.
  • FIG. 10A shows a specific example of post-anonymization data stored in the post-anonymization data DB.
  • the pre-anonymization data searched in the processing procedure of step S502 is the pre-anonymization data shown in FIG. 6A and the anonymization process information corresponding to the pre-anonymization data is the anonymization process information shown in FIG.
  • the data before anonymization is anonymized as shown in FIG. 10A.
  • step S504 the anonymization processing unit 205 changes the “anonymized flag” column of the anonymization processing information to TRUE, and the record of the anonymized data stored in the post-anonymization data DB in the processing procedure of step S503 The ID is stored in the “anonymized data record ID” column.
  • the anonymization processing unit 205 performs the processing procedure of steps S502 to S504 for all the records.
  • FIG. 11 is a diagram illustrating an example of a processing procedure of output processing.
  • 12A to 12F are diagrams illustrating examples of various data input / output in the process of the output determination unit 206.
  • 13A and 13B are diagrams showing examples of teacher data. A processing procedure for outputting output data based on the anonymized data will be described with reference to FIGS. 11 to 13.
  • step S601 the output determination unit 206 extracts all records whose “anonymized flag” column is TRUE from the anonymization processing information DB.
  • step S602 the output determination unit 206 searches the post-anonymization data DB for post-anonymization data corresponding to the record extracted in the processing procedure of step S601.
  • step S ⁇ b> 603 the output determination unit 206 acquires anonymity determination information from the setting information storage unit 202.
  • step S604 the output determination unit 206 sets the anonymity determination information in each column of the post-anonymization data (hereinafter referred to as “post-anonymization data to be output”) searched in the processing procedure of step S602.
  • the selected column (hereinafter referred to as “anonymity determination column”) is selected, and it is confirmed whether or not a record that matches the contents of all the selected columns exists in the anonymization pattern DB. If records that match the contents of all selected columns exist in the anonymization pattern DB, it is determined that the post-anonymization data to be output satisfies k-anonymity, and the process proceeds to step S612. If there is no record that matches the contents of all selected columns in the anonymization pattern DB, the process proceeds to step S605.
  • the post-anonymization data to be output is the post-anonymization data shown in FIG. 12A and the anonymization pattern DB includes the anonymization pattern shown in FIG. 12D. Further, it is assumed that the columns shown in FIG. 4C (“name”, “age”, “current address”, “sex”, “reception date”, and “medicine ID”) are set in the anonymity determination information. To do.
  • the output determination unit 206 selects columns for determining anonymity among the columns included in the post-anonymization data whose output is determined as shown in FIG. 12A, and records having the same set values as the set values of these columns are anonymous. It is confirmed whether it exists in the conversion pattern DB.
  • the setting value of the column for determining the anonymity of the post-anonymization data determined as output in FIG. 12A is the same as the setting value of the column of the anonymization pattern shown in FIG. 12D. Accordingly, the output determination unit 206 determines that the post-anonymization data determined to be output satisfies k-anonymity, and proceeds to the processing procedure of step S612.
  • step S605 the output determination unit 206 acquires the k-anonymity index value from the setting information storage unit 202.
  • step S606 the output determination unit 206 selects anonymity determination columns from the columns of the anonymized data that are determined to be output, and records that match the contents of all the selected columns are data after anonymization. Check if there are more than k items in the DB. If there are k or more items, the anonymized data determined to be output is determined to satisfy k-anonymity, and the process proceeds to the processing procedure of step S608. It is determined that the data does not satisfy k-anonymity, and the process proceeds to step S607.
  • the post-anonymization data to be output is assumed to be post-anonymization data shown in FIG. 12A, and three post-anonymization data shown in FIG. 12B exist in the post-anonymization data DB. Further, it is assumed that the k-anonymity index value is “3” and the column shown in FIG. 4C is set in the anonymity determination information.
  • the output determination unit 206 selects columns for determining anonymity among the columns included in the post-anonymization data whose output is determined as shown in FIG. 12A, and records having the same set values as the set values of these columns are anonymous. It is confirmed whether it exists in data DB after conversion.
  • the setting value of the column for determining anonymity is the same as the setting value of the column of the post-anonymization data for which output is determined. Accordingly, the output determination unit 206 determines that the post-anonymization data determined to be output satisfies k-anonymity, and proceeds to the processing procedure of step S608.
  • the output determination unit 206 determines that the post-anonymization data determined to be output does not satisfy k-anonymity, and proceeds to the processing procedure of step S607.
  • the output determination unit 206 generates teacher data from the pre-anonymization data corresponding to the post-anonymization data determined to be output and the anonymization process management information, and notifies the generated learning data to the machine learning unit 204.
  • FIG. 13A is an example of teacher data generated by the processing procedure of step S607.
  • the teacher data is data having anonymity determination information to which the “k-anonymity criterion conformance flag” column is added and pre-anonymization data.
  • the “k-anonymity criterion conformance flag” is a flag indicating whether or not the anonymized data satisfies k-anonymity.
  • TRUE is set in the “k-anonymity criterion conformance flag” of the teacher data, and it is determined that k-anonymity is not satisfied.
  • FALSE is set in the “k-anonymity criterion conformance flag” of the teacher data.
  • the output determining unit 206 sets the “k-anonymity criterion conformance flag” column to FALSE when generating teacher data in the processing procedure of step S607. This is because it is determined in the processing procedure of step S606 that the post-anonymization data determined to be output does not satisfy k-anonymity.
  • step S608 the output determination unit 206 acquires the output target information from the setting information storage unit 202. Subsequently, the output determination unit 206 generates output data from each of the k anonymized data and the anonymized data whose output is determined, and outputs the generated output data to an external system or the like. The output determination unit 206 generates output data by extracting columns set in the output target information from each column of the anonymized data.
  • the post-anonymization data to be output is assumed to be post-anonymization data shown in FIG. 12A, and three post-anonymization data shown in FIG. 12B exist in the post-anonymization data DB.
  • the k-anonymity index value is “3”
  • the output target information includes columns (“record ID”, “age”, “current address”, “sex”, “reception date”, Assume that “Department” and “Symptom”) are set.
  • the output data output by the processing procedure of step S608 is four pieces of output data shown in FIG. 12C.
  • step S609 the output determination unit 206 selects any one post-anonymization data among k post-anonymization data, and the pre-anonymization data and the anonymization process corresponding to the selected post-anonymization data Teacher data is generated from the management information, and the generated teacher data is notified to the machine learning unit 204.
  • FIG. 13B is a specific example of teacher data generated by the processing procedure of step S609.
  • the output determination unit 206 sets the “k-anonymity criterion conformance flag” column to TRUE when generating teacher data in the processing procedure of step S609. This is because the post-anonymization data determined to be output in the processing procedure of step S606 is determined to satisfy k-anonymity.
  • step S610 the output determination unit 206 selects any one post-anonymization data among k post-anonymization data, and extracts a column for determining anonymity from the selected post-anonymization data. Further, the output determination unit 206 generates an anonymization pattern from the extracted column, adds a new record to the anonymization pattern, and stores it. For example, when it is assumed that the output data output in step S608 is the four cases shown in FIG. 12C, the anonymization pattern shown in FIG. 12D is generated.
  • step S611 the output determination unit 206 sets the pre-anonymization data, the post-anonymization data, and the anonymization process management information corresponding to each of the k pieces of output data output in step S608, the pre-anonymization data DB, the anonymous It deletes from data-ized data DB and anonymization process management information DB.
  • step S612 the output determination unit 206 acquires the output target information from the setting information storage unit 202. Subsequently, the output determination unit 206 generates output data by extracting columns set in the output target information from each column of post-anonymization data determined to exist in the anonymization pattern DB. Subsequently, the output determination unit 206 outputs the generated output data to an external system or the like.
  • the post-anonymization data to be output is the post-anonymization data shown in FIG. 12E and the output target information has the column shown in FIG. 4D.
  • the output data output by the processing procedure of step S612 is output data shown in FIG. 12F.
  • the output determination unit 206 outputs the pre-anonymization data, the post-anonymization data, and the anonymization process management information corresponding to the output data output in step S612, the pre-anonymization data DB, the post-anonymization data DB, And deleted from the anonymization process management information DB.
  • the output determination unit 206 performs the processing procedure of steps S602 to S613 for all the records.
  • FIG. 14 is a diagram illustrating an example of a processing procedure for changing the degree of generalization in the anonymization process.
  • a processing procedure when the anonymization processing unit 205 redoes the anonymization process again when the machine learning unit 204 adjusts the degree of generalization based on the teacher data will be described.
  • step S701 the machine learning unit 204 extracts all records in which the “anonymization method setting flag” column is TRUE from the anonymization processing management information DB.
  • step S702 the machine learning unit 204 changes the contents of the “anonymization level” column of all the extracted records to contents corresponding to the degree of generalization after adjustment. In addition, the machine learning unit 204 notifies the anonymization processing unit 205 that the content of the “anonymization level” column has been changed.
  • step S703 the anonymization processing unit 205 extracts all records whose “anonymized flag” is TRUE from the anonymization processing management information DB.
  • step S704 the anonymization processing unit 205 extracts all pre-anonymization data corresponding to all the records extracted in step S703 from the pre-anonymization data DB.
  • step S705 the anonymization processing unit 205 performs “anonymization method” of anonymization processing information corresponding to each of the pre-anonymization data for each of all the pre-anonymization data searched in step S704, and Anonymization processing is performed again according to the setting content of the “anonymization level” column. Moreover, the anonymization process part 205 overwrites the content of each column of the data before anonymization processed by anonymization on the record of the data after anonymization corresponding to the data before anonymization among data DB after anonymization.
  • the pre-anonymization data is pre-anonymization data shown in FIG. 6A and the post-anonymization data is post-anonymization data shown in FIG. 10A.
  • the machine learning unit 204 has changed the anonymization level of the current address in the anonymization processing management information of FIG.
  • the anonymization processing unit 205 deletes the current address column from the current address column of the pre-anonymized data ("1-1-11, XYcho, Adachi-ku, Tokyo, 1-11-101"). (“Tokyo Metropolitan Adachi-ku XYcho 1-chome”) is generated and overwritten on the current address column of the anonymized data shown in FIG. 10A.
  • the anonymization processing unit 205 compares the “generation date / time” of each anonymization process management information stored in the anonymization process management information DB with the current date / time to set the real-time property definition information retention time limit. Whether or not there is data that has not been output as output data even after the set time has elapsed (data that cannot satisfy k-anonymity within the retention time) is confirmed.
  • the anonymization processing unit 205 stores the data after anonymization within the retention period. Judge that anonymity could not be met. Further, when the anonymization processing unit 205 determines that the data after anonymization cannot satisfy k-anonymity within the retention period, the data after anonymization, the data before anonymization corresponding to the data after anonymization, and anonymity The anonymization process management information is deleted from the pre-anonymization data DB, the post-anonymization data DB, and the anonymization process management information DB.
  • the anonymization processing unit 205 does not compare the “generation date and time” with the current date and time, for example, when the number of records accumulated in the temporary storage unit 201 exceeds a predetermined threshold, the generation date and time are old. In order, you may make it delete the data before anonymization, the data after anonymization, and the anonymization process management information from data DB before anonymization, data DB after anonymization, and anonymization process management information DB.
  • the machine learning unit 204 adjusts the degree of generalization based on teacher data received from an external system or the like or teacher data received from the output determination unit 206.
  • the machine learning unit 204 may allow the user to refer to the teacher data and adjust the degree of generalization according to an instruction from the user, or automatically adjust the degree of generalization based on the teacher data. You may make it do.
  • the machine learning unit 204 determines the degree of generalization in the direction of coarsening the value of the item of personal information (in the direction of increasing the degree of generalization) for the teacher data whose “k-anonymity criterion conformance flag” is FALSE. Adjust. For the teacher data whose “k-anonymity criterion conformance flag” is TRUE, the degree of generalization is adjusted in the direction of embodying personal information (in the direction of lowering the degree of generalization).
  • the machine learning unit 204 does not adjust the degree of generalization every time it receives teacher data. For example, when the number of teacher data whose “k-anonymity criterion conformance flag” is FALSE increases, When the degree of generalization is adjusted in the direction of coarsening the value of the information item (in the direction of increasing the degree of generalization) and the teacher data whose “k-anonymity criterion conformance flag” is TRUE increases, The degree of generalization may be adjusted in a direction in which information is embodied (a direction in which the degree of generalization is lowered).
  • the direction of coarsening the value of the personal information item is, for example, changing the setting of "" Current address “:” Delete after chome “” to "" Current address “:” Delete after city " To do.
  • the direction of embodying personal information is, for example, changing the setting of ““ Current address ”:“ Delete after the municipality ”” to the setting of ““ Current address ”:“ Delete after Chome ”” Say.
  • the anonymization processing device 10 performs anonymization processing on input data input from an external system or the like, and outputs anonymized output data when k-anonymity is satisfied. I did it.
  • the anonymization processing apparatus 10 which concerns on embodiment can anonymize in real time, ensuring anonymity with respect to the data input continuously.
  • the anonymization processing device 10 performs machine learning based on teacher data indicating whether or not the anonymized data satisfies k-anonymity, and can change the degree of generalization.
  • the anonymization processing device 10 according to the embodiment cannot be specified how many the total number of records to be anonymized is, so it is compared with the system that performs anonymization by batch processing. Therefore, there is a possibility that the output data will continue to be output in a direction in which the degree of generalization is high.
  • the anonymization processing device 10 adjusts the degree of generalization of the teacher data in which the “k-anonymity criterion conformance flag” is TRUE to reduce the “k-anonymity criterion”. Adjustment was made in the direction of increasing the degree of generalization for the teacher data whose “adaptation flag” is FALSE. Thereby, the anonymization processing apparatus 10 which concerns on embodiment can output the data anonymized by the optimal degree of generalization.
  • all or part of the embodiment can be implemented by a program.
  • This program can be stored in a storage medium.
  • the anonymization processing unit 205 is an example of a processing unit.
  • the temporary storage unit 201 is an example of a first storage unit.
  • the anonymization pattern DB storage unit 207 is an example of a second storage unit.
  • the post-anonymization data is an example of anonymized data.
  • k-anonymity is an example of an anonymity index.
  • the degree of generalization is an example of abstraction.
  • Anonymization processing apparatus 201 Temporary storage part 202 Setting information storage part 203 Input part 204 Machine learning part 205 Anonymization processing part 206 Output judgment part 207 Anonymization pattern DB storage part

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Bioethics (AREA)
  • Medical Informatics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Mining & Analysis (AREA)
  • Business, Economics & Management (AREA)
  • Primary Health Care (AREA)
  • Tourism & Hospitality (AREA)
  • Artificial Intelligence (AREA)
  • Mathematical Physics (AREA)
  • Evolutionary Computation (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Computing Systems (AREA)
  • Public Health (AREA)
  • Epidemiology (AREA)
  • Human Resources & Organizations (AREA)
  • Marketing (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Economics (AREA)
  • Child & Adolescent Psychology (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Medical Treatment And Welfare Office Work (AREA)

Abstract

　入力データに対して匿名化を行い、匿名化された出力データを出力する匿名化処理装置であって、前記入力データを受け付ける入力部と、前記入力データに対して匿名化を行い、匿名化された前記入力データに対応する匿名化済みデータを生成する処理部と、匿名化済みデータを記憶する第一の記憶部と、前記第一の記憶部に記憶されている複数の匿名化済みデータが匿名性指標を満たす場合に、前記複数の匿名化済みデータの各々に対応する複数の出力データを生成して出力し、前記複数の匿名化済みデータを前記第一の記憶部から削除する出力部と、を有する。

Description

匿名化処理装置、匿名化処理方法及びプログラム
　本発明は、匿名化処理装置、匿名化処理方法及びプログラムに関する。
　近年、レコメンド技術のように、大量の個人情報を分析し、分析結果から得られる情報を様々に活用する技術が発達してきている。また、個人情報を分析するにあたり、個人のプライバシーを保護しつつデータ分析を行うことを可能にする匿名化技術が知られている。
　従来の匿名化技術は、大量の個人情報を格納したデータベースに対して、個人情報のうち予め決められた特定のカラムをバッチ処理で削除することで、匿名化処理を行っていた。
特開２０１４－１５３９４３号公報
　しかしながら、従来の匿名化技術はバッチ処理にて匿名化処理を行うことから、継続的にデータが入力されるリアルタイム処理システムに匿名化技術を適用することは困難であった。
　開示の技術は上記に鑑みてなされたものであって、継続的に入力されるデータに対してリアルタイム性を保ちつつ匿名化することができる技術を提供することを目的とする。
　開示の技術の匿名化処理装置は、入力データに対して匿名化を行い、匿名化された出力データを出力する匿名化処理装置であって、前記入力データを受け付ける入力部と、前記入力データに対して匿名化を行い、匿名化された前記入力データに対応する匿名化済みデータを生成する処理部と、匿名化済みデータを記憶する第一の記憶部と、前記第一の記憶部に記憶されている複数の匿名化済みデータが匿名性指標を満たす場合に、前記複数の匿名化済みデータの各々に対応する複数の出力データを生成して出力し、前記複数の匿名化済みデータを前記第一の記憶部から削除する出力部と、を有する。
　開示の技術によれば、継続的に入力されるデータに対してリアルタイム性を保ちつつ匿名化することができる技術を提供することができる。
実施の形態に係る匿名化処理装置の概要を示す図である。 実施の形態に係る匿名化処理装置のハードウェア構成の一例を示す図である。 実施の形態に係る匿名化処理装置のソフトウェア構成の一例を示す図である。 設定情報の一例を示す図である。 設定情報の一例を示す図である。 設定情報の一例を示す図である。 設定情報の一例を示す図である。 入力データ格納処理の処理手順の一例を示す図である。 匿名化前データ及び匿名化処理管理情報の一例を示す図である。 匿名化前データ及び匿名化処理管理情報の一例を示す図である。 匿名化方法及び匿名化レベルを設定する処理手順の一例を示す図である。 匿名化方法及び匿名化レベルが設定された匿名化処理管理情報の一例を示す図である。 匿名化処理の処理手順の一例を示す図である。 匿名化後データ及び匿名化処理管理情報の一例を示す図である。 匿名化後データ及び匿名化処理管理情報の一例を示す図である。 出力処理の処理手順の一例を示す図である。 出力判断部の処理で入出力される各種データの一例を示す図である。 出力判断部の処理で入出力される各種データの一例を示す図である。 出力判断部の処理で入出力される各種データの一例を示す図である。 出力判断部の処理で入出力される各種データの一例を示す図である。 出力判断部の処理で入出力される各種データの一例を示す図である。 出力判断部の処理で入出力される各種データの一例を示す図である。 教師データの一例を示す図である。 教師データの一例を示す図である。 匿名化処理における一般化の度合いを変更する場合の処理手順の一例を示す図である。
　以下、図面を参照して実施の形態について説明する。各図面において、同一構成部分には同一符号を付し、重複した説明を省略する場合がある。
　＜概要＞
　図１は、実施の形態に係る匿名化処理装置の概要を示す図である。匿名化処理装置１０は、外部システム等から、個人情報が含まれた入力データを受け付け、受け付けた入力データに対して匿名化処理を行う。また、匿名化処理装置１０は、匿名化されたデータ（出力データ）を外部システム等に対して出力する。
　ここで、匿名化とは、個人情報から個人を特定する情報を取り除いたり（除去）、個人を特定する情報を確率的に変化させたり（ランダム化）、又は、個人を特定する情報の精度を落としたりする（一般化）ことで、個人を特定しにくくするデータ加工方法をいう。また、匿名性を評価する指標（匿名性指標）として、ｋ－匿名性が知られている。ｋ－匿名性とは、同じような属性の人が必ずｋ人以上存在する状態のことをいう。例えば、年齢が「３０台」であると共に住所が「東京都港区」である人が１０人存在する場合、このデータの匿名性は「ｋ＝１０」と表現される。すなわち、ｋの値が大きいほど同じような属性を有する人が多いことになり、個人を特定しにくくなる（匿名性が高まる）。
　匿名化処理装置１０は、入力されたデータに対してリアルタイムに匿名化を行うために、入力されたデータ及び匿名化されたデータを一旦インメモリデータベースに格納し、匿名化されたデータがｋ－匿名性を満たす場合に、匿名化されたデータを外部システム等に対して出力する。
　また、匿名化処理装置１０は、入力されたデータを全てデータベースに蓄積し、適宜バッチ処理にて匿名化を行うシステムとは異なり、リアルタイム性を保ちつつ匿名化することを目的としている。そのため、匿名化処理装置１０は、匿名化されたデータがすぐに出力できない場合（例えば、匿名化されたデータが所定の時間内にｋ－匿名性を満たせない場合、又は、インメモリデータベース内に蓄積されたレコード数が所定の閾値を超えた場合など）は、データの鮮度が落ちるため、匿名化されたデータを外部システム等に対して出力せずにインメモリデータベースから消去するようにする。
　また、匿名化処理装置１０は、入力されたデータに対して、どのような匿名化方法（除去、ランダム化又は一般化）で匿名化を行うのかを示す情報、及び、匿名化方法ごとの匿名化の程度を示す情報に基づいて匿名化を行う。また、匿名化処理装置１０は、匿名化されたデータが匿名性指標を満たせているのか、又は、匿名化されたデータが匿名性指標を満たせていないのかという評価結果（教師データ）を学習することで、個人を特定する情報を一般化する場合に、どの程度の一般化（以下、「一般化の度合い」ということがある）を行うのかを調整するオンライン機械学習フレームワークの機能を有する。
　なお、本実施の形態において、匿名化処理装置１０に入力されるデータは、病院等で扱われる個人情報である前提で説明するが、本実施の形態に係る匿名化処理装置１０は、他の個人情報を扱うシステムに対しても適用することが可能である。
　なお、本実施の形態において、匿名化処理装置１０は、処理速度を向上させるためにインメモリデータベースを用いているが、他のデータベースを用いるようにしてもよい。
　なお、本実施の形態において、匿名化処理装置１０は、匿名性指標としてｋ－匿名性を用いているが、他の匿名性指標を用いるようにしてもよい。
　なお、本実施の形態において、匿名化処理装置１０は、匿名化方法として、除去、ランダム化、及び一般化を用いているが、これらの匿名化方法に限られず、他の匿名化方法を用いるようにしてもよい。
　＜ハードウェア構成＞
　図２は、実施の形態に係る匿名化処理装置のハードウェア構成の一例を示す図である。実施の形態に係る匿名化処理装置１０は、ＣＰＵ１０１と、ＲＯＭ１０２と、ＲＡＭ１０３と、ＨＤＤ１０４と、操作部１０５と、表示部１０６と、ドライブ装置１０７と、ＮＩＣ（Network Interface card）１０８とを有する。
　ＣＰＵ１０１は、匿名化処理装置１０の全体制御を行うプロセッサである。ＣＰＵ１０１は、ＨＤＤ１０４等に記憶されたオペレーティングシステム、アプリケーション、各種サービス等のプログラムを実行し、匿名化処理装置１０の各種機能を実現する。ＲＯＭ１０２には、各種のプログラムやプログラムによって利用されるデータ等が記憶される。ＲＡＭ１０３は、プログラムをロードするための記憶領域や、ロードされたプログラムのワーク領域等として用いられる。また、ＲＡＭ１０３は、匿名化処理を行う際に用いるインメモリデータベースを保持する。ＨＤＤ１０４には、各種情報及びプログラム等が記憶される。
　操作部１０５は、ユーザからの入力操作を受け付けるためのハードウェアであり、例えばキーボード又はマウスである。表示部１０６は、利用者に向けた表示を行うハードウェアである。
　ドライブ装置１０７は、プログラムを記録した記憶媒体１０９からプログラムを読み取る。ドライブ装置１０７によって読み取られたプログラムは、例えば、ＨＤＤ１０４にインストールされる。ＮＩＣ１０８は、匿名化処理装置１０をネットワークに接続し、データの送受信を行うための通信インタフェースである。
　なお、記憶媒体１０９とは、非一時的（non-transitory）な記憶媒体を言う。記憶媒体１０９の例としては、磁気記憶媒体、光ディスク、光磁気記憶媒体、不揮発性メモリなどがある。
　＜ソフトウェア構成＞
　図３は、実施の形態に係る匿名化処理装置のソフトウェア構成の一例を示す図である。実施の形態に係る匿名化処理装置１０は、一時記憶部２０１と、設定情報記憶部２０２と、入力部２０３と、機械学習部２０４と、匿名化処理部２０５と、出力判断部２０６と、匿名化パターンＤＢ記憶部２０７とを有する。これら各手段は、匿名化処理装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０１に実行させる処理により実現され得る。
　一時記憶部２０１は、匿名化前データＤＢ（Database）と、匿名化後データＤＢと、匿名化処理管理情報ＤＢとを有する。匿名化前データＤＢは、匿名化前データ（匿名化処理される前のデータ）を格納するＤＢであり、レコード毎に１つの匿名化前データを格納する。匿名化後データＤＢは、匿名化後データ（匿名化処理された後のデータ）を格納するＤＢであり、レコード毎に１つの匿名化後データを格納する。匿名化処理管理情報ＤＢは、レコード毎に１つの匿名化処理管理情報を格納する。匿名化処理管理情報は、匿名化前データと匿名化後データとを対応づけると共に、匿名化処理の進行状況と、匿名化方法及び匿名化レベルを示す情報とを含む。一時記憶部２０１は、ＲＡＭ１０３に構築されるインメモリデータベースにより実現される。なお、一時記憶部２０１は、ＲＡＭ１０３ではなく、ＨＤＤ１０４等に構築される一般的なデータベースにより実現されるようにしてもよい。
　設定情報記憶部２０２は、匿名化処理装置１０の動作に係る各種設定情報を格納する。入力部２０３、機械学習部２０４、匿名化処理部２０５及び出力判断部２０６は、設定情報記憶部２０２に格納される各種設定情報を必要に応じて参照することができる。
　入力部２０３は、外部システム等から入力データを受け付け、匿名化前データＤＢに新たなレコードを追加して、追加したレコードに受け付けた入力データを格納する。また、生成したレコードに対応する匿名化処理管理情報ＤＢに新たなレコードを追加する。
　機械学習部２０４は、教師データによる学習結果に基づき、匿名化前データに対してどのように匿名化を行うのかを示す匿名化方法と、匿名化方法ごとの匿名化レベルとを示す情報を、匿名化処理管理情報ＤＢに格納する。また、機械学習部２０４は、外部から受け取った教師データ又は出力判断部２０６から受け取った教師データに基づき、一般化の度合いを調整する。機械学習部２０４は、一般化の度合いを調整した場合、その旨をＲＰＣ（Remote Procedure Call）にて匿名化処理部２０５に通知する。
　匿名化処理部２０５は、匿名化前データに対応する匿名化処理管理情報に基づいて、匿名化前データを匿名化処理すると共に、匿名化後データＤＢに新たなレコードを追加し、追加したレコードに匿名化したデータを格納する。また、匿名化処理部２０５は、機械学習部２０４から一般化の度合いを変更した旨の通知を受けた場合、既に匿名化処理されたデータに対して再度匿名化処理を行う。
　また、匿名化処理部２０５は、匿名化後データが所定の時間内にｋ－匿名性を満たせない場合、又は、一時記憶部２０１に蓄積されたレコード数が所定の閾値を超えた場合、後述する生成日時が古い順に、匿名化前データと匿名化後データと匿名化処理管理情報とを一時記憶部２０１から削除する。
　出力判断部２０６は、匿名化後データＤＢに格納されている匿名化後データを検索し、匿名化後データがｋ－匿名性を満たすかどうか、又は、匿名化パターンＤＢ記憶部２０７に格納されている匿名化パターンと匿名化後データとが一致するかどうかを判断する。匿名化後データがｋ－匿名性を満たす場合、又は、匿名化パターンと匿名化後データとが一致する場合、出力判断部２０６は、匿名化後データは匿名性指標を満たしていると判断し、匿名化後データを出力データとして出力する。また、出力判断部２０６は、出力データに対応する匿名化前データ、匿名化後データ及び匿名化処理管理情報を、一時記憶部２０１から削除する。
　また、匿名化後データがｋ－匿名性を満たさない場合、又は、匿名化パターンと匿名化後データとが一致しない場合、出力判断部２０６は、匿名化後データは匿名性指標を満たしていないと判断し、匿名化後データを出力データとして出力せずに匿名化後データＤＢに残しておく。
　また、出力判断部２０６は、匿名性指標を満たしているか又は満たしていないかの判断結果を、教師データとして機械学習部２０４に通知する。
　匿名化パターンＤＢ記憶部２０７は、１又は複数の匿名化パターンを格納する。匿名化パターンＤＢは、過去に匿名性指標を満たすと判断された匿名化後データから生成される。言い換えると、匿名化パターンＤＢは、匿名性指標を満たすパターンをデータベース化したものである。出力判断部２０６は、匿名化パターンＤＢを用いて当該匿名化後データと匿名化パターンとが一致するかを確認するだけで、当該匿名化後データが匿名性指標を満たすか否かの判断を行うことができる。
　図４Ａ～Ｄは、設定情報の一例を示す図である。実施の形態に係る匿名化処理装置１０は、設定情報として、ｋ－匿名性指標値、リアルタイム性定義情報、匿名性判定情報、及び出力対象情報を有する。これらの設定情報は、設定情報記憶部２０２に格納される。
　ｋ－匿名性指標値は、ｋ－匿名性の判断に用いる「ｋ」の具体的な数である。リアルタイム性定義情報は、匿名化前データＤＢ及び匿名化後データＤＢに格納されている、匿名化前データ及び匿名化後データの保持期限（生存期限）を定義する情報である。匿名性判定情報は、出力判断部２０６が、匿名化後データに含まれる各種カラムのうち、どのカラムを用いて匿名性を判断すればよいのかを示す情報である。出力対象情報は、匿名化後データに含まれる各種カラムのうち、どのカラムを出力データとして出力するかを示す情報である。出力判断部２０６は、匿名化後データのうち、出力対象情報に示されるカラムを抽出することで出力データを生成する。
　＜処理手順＞
　（入力データ格納処理）
　図５は、入力データ格納処理の処理手順の一例を示す図である。図６Ａ～Ｂは、匿名化前データ及び匿名化処理管理情報の一例を示す図である。図５及び図６Ａ～Ｂを用いて、入力部２０３に入力データが入力され、一時記憶部２０１に格納されるまでの処理手順について説明する。
　ステップＳ３０１で、入力部２０３は、外部システム等から入力データを受け付けると、匿名化前データＤＢに新たなレコードを生成し、匿名化前データＤＢの中でレコードを一意に識別するためのレコードＩＤを格納する。また、入力データを当該新たなレコードに格納する。図６Ａは、入力部２０３により匿名化前データＤＢに追加された匿名化前データの一例である。匿名化前データは、複数のカラム（レコードＩＤ、氏名、年齢、現住所、性別、受信年月日、診療科、担当医ＩＤ、症状）を有する。
　ステップＳ３０２で、入力部２０３は、匿名化処理管理情報ＤＢに新たなレコードを生成し、匿名化処理管理情報ＤＢの中でレコードを一意に識別するためのレコードＩＤを格納する。入力部２０３は、当該新たなレコードに、ステップＳ３０１の処理手順にて生成した匿名化前データのレコードＩＤ及び、ステップＳ３０１の処理手順にて匿名化前データを生成した日時を格納する。図６Ｂは、入力部２０３により匿名化処理管理情報ＤＢに追加された匿名化処理管理情報の一例である。匿名化処理管理情報は、複数のカラム（レコードＩＤ、匿名化前データレコードＩＤ、匿名化後データレコードＩＤ、匿名化方法設定フラグ、匿名化方法、匿名化レベル、匿名化済フラグ、生成日時）を有する。匿名化後データレコードＩＤ、匿名化方法設定フラグ、匿名化方法、匿名化レベル、及び匿名化済フラグは、機械学習部２０４、匿名化処理部２０５及び出力判断部２０６にて処理を行う際に利用されるカラムであるため、「ＮＵＬＬ」又は「ＦＡＬＳＥ」が設定される。生成日時カラムは、匿名化前データが生成された日時を格納するカラムである。
　入力部２０３は、入力データが入力される度にステップＳ３０１及びステップＳ３０２の処理手順を繰り返し行うことで、入力データを一時記憶部２０１に順次格納する。
　（匿名化方法及び匿名化レベルの設定処理）
　図７は、匿名化方法及び匿名化レベルを設定する処理手順の一例を示す図である。図８は、匿名化方法及び匿名化レベルが設定された匿名化処理管理情報の一例を示す図である。図７及び図８を用いて、機械学習部２０４が匿名化処理管理情報に匿名化方法及び匿名化レベルを設定する処理手順について説明する。
　ステップＳ４０１で、機械学習部２０４は、匿名化処理情報ＤＢを検索し、「匿名化方法設定フラグ」がＦＡＬＳＥであるレコードを全て抽出する。ここで、匿名化方法設定フラグとは、機械学習部２０４が匿名化方法及び匿名化レベルを設定済みであるかを示すフラグである。「匿名化方法設定フラグ」が「ＦＡＬＳＥ」である場合、機械学習部２０４が匿名化方法及び匿名化レベルを設定していない状態であることを示し、匿名化方法設定フラグが「ＴＲＵＥ」である場合、機械学習部２０４が匿名化方法及び匿名化レベルを設定済みであることを示す。
　ステップＳ４０２で、機械学習部２０４は、ステップＳ４０１の処理手順で抽出したレコードの「匿名化方法」及び「匿名化レベル」カラムに、匿名化方法及び匿名化レベルを設定する。ここで、「匿名化方法」カラムには、匿名化前データの各カラムのうち、どのカラムをどのような匿名化方法で匿名化するのかを示す情報が格納される。また、「匿名化レベル」カラムには、ランダム化を行う場合にどのような比率でランダム化を行うのか、又は、一般化を行う場合に個人を特定する情報をどの程度一般化するのかを示す情報が格納される。図８に示す匿名化処理管理情報は、機械学習部２０４により「匿名化方法」及び「匿名化レベル」カラムが設定された匿名化処理管理情報の一例である。図８の匿名化処理管理情報は、「匿名化前データレコードＩＤ」カラムが示す匿名化前データに対して、「氏名」カラムを除去し、「年齢」の１の位を０に変更するように一般化し、「現住所」カラムの市区町村以降を削除するように一般化し、「性別」カラムを男女比が１０３：１００になるようにランダム化し、「受信年月日」カラムの日付を削除するように一般化し、「担当医ＩＤ」カラムを除去し、「診療科」カラム及び「症状」カラムをそのまま残すように匿名化処理が行われるようにすることを示している。
　なお、ステップＳ４０１の処理手順で複数のレコードが抽出された場合、機械学習部２０４は、全てのレコードに対してステップＳ４０２の処理を行う。
　（匿名化処理）
　図９は、匿名化処理の処理手順の一例を示す図である。図１０Ａ～Ｂは、匿名化後データ及び匿名化処理管理情報の一例を示す図である。図９及び図１０Ａ～Ｂを用いて、匿名化処理部２０５が、匿名化処理管理情報に基づいて匿名化処理を行う処理手順について説明する。
　ステップＳ５０１で、匿名化処理部２０５は、匿名化処理情報ＤＢから、「匿名化方法設定フラグ」カラムがＴＲＵＥであるレコードを全て抽出する。
　ステップＳ５０２で、匿名化処理部２０５は、ステップＳ５０１の処理手順で抽出したレコードに対応する匿名化前データを、匿名化前データＤＢから検索する。
　ステップＳ５０３で、匿名化処理部２０５は、ステップＳ５０２で検索された匿名化前データに対して、当該匿名化前データに対応する匿名化処理情報の「匿名化方法」及び「匿名化レベル」カラムの設定内容に従って匿名化処理し、匿名化後データＤＢに新たなレコードを生成して格納する。図１０Ａに、匿名化後データＤＢに格納された匿名化後データの具体例を示す。ステップＳ５０２の処理手順で検索された匿名化前データが図６Ａに示す匿名化前データであり、当該匿名化前データに対応する匿名化処理情報が図８に示す匿名化処理情報である場合、匿名化前データは、図１０Ａのように匿名化されることになる。
　ステップＳ５０４で、匿名化処理部２０５は、匿名化処理情報の「匿名化済フラグ」カラムをＴＲＵＥに変更し、ステップＳ５０３の処理手順で匿名化後データＤＢに格納された匿名化後データのレコードＩＤを「匿名化後データレコードＩＤ」カラムに格納する。
　なお、ステップＳ５０１の処理手順で複数のレコードが抽出された場合、匿名化処理部２０５は、全てのレコードに対してステップＳ５０２乃至ステップＳ５０４の処理手順を行う。
　（出力処理）
　図１１は、出力処理の処理手順の一例を示す図である。図１２Ａ～Ｆは、出力判断部２０６の処理で入出力される各種データの一例を示す図である。図１３Ａ～Ｂは、教師データの一例を示す図である。図１１乃至図１３を用いて、匿名化後データに基づいて出力データを出力する処理手順について説明する。
　ステップＳ６０１で、出力判断部２０６は、匿名化処理情報ＤＢから、「匿名化済フラグ」カラムがＴＲＵＥであるレコードを全て抽出する。
　ステップＳ６０２で、出力判断部２０６は、ステップＳ６０１の処理手順で抽出したレコードに対応する匿名化後データを、匿名化後データＤＢから検索する。
　ステップＳ６０３で、出力判断部２０６は、設定情報記憶部２０２から匿名性判定情報を取得する。
　ステップＳ６０４で、出力判断部２０６は、ステップＳ６０２の処理手順で検索された匿名化後データ（以下、「出力判断される匿名化後データ」という）の各カラムのうち、匿名性判定情報に設定されているカラム（以下、「匿名性判定するカラム」という）を選択し、選択した全てのカラムの内容と一致するレコードが、匿名化パターンＤＢに存在するか否かを確認する。選択した全てのカラムの内容と一致するレコードが匿名化パターンＤＢに存在する場合、出力判断される匿名化後データはｋ－匿名性を満たしていると判断してステップＳ６１２の処理手順に進む。選択した全てのカラムの内容と一致するレコードが匿名化パターンＤＢに存在しない場合、ステップＳ６０５の処理手順に進む。
　ここで、図１２Ａ～Ｆを用いて具体例を説明する。出力判断される匿名化後データが図１２Ａに示す匿名化後データであり、匿名化パターンＤＢに、図１２Ｄに示す匿名化パターンが含まれていると仮定する。また、匿名性判定情報には図４Ｃに示すカラム（「氏名」、「年齢」、「現住所」、「性別」、「受信年月日」及び「担当医ＩＤ」）が設定されていると仮定する。
　出力判断部２０６は、図１２Ａに示す出力判断される匿名化後データに含まれるカラムのうち、匿名性判定するカラムを選択し、これらのカラムの設定値と同一の設定値を有するレコードが匿名化パターンＤＢに存在するかを確認する。図１２Ａの出力判断される匿名化後データの匿名性判定するカラムの設定値は、図１２Ｄに示す匿名化パターンのカラムの設定値と同一である。従って、出力判断部２０６は、出力判断される匿名化後データはｋ－匿名性を満たしていると判断してステップＳ６１２の処理手順に進む。
　図１１に戻り説明を続ける。ステップＳ６０５で、出力判断部２０６は、設定情報記憶部２０２からｋ－匿名性指標値を取得する。
　ステップＳ６０６で、出力判断部２０６は、出力判断される匿名化後データの各カラムのうち、匿名性判定するカラムを選択し、選択した全てのカラムの内容と一致するレコードが、匿名化後データＤＢにｋ件以上存在するかを確認する。ｋ件以上存在する場合、出力判断される匿名化後データはｋ－匿名性を満たしていると判断してステップＳ６０８の処理手順に進み、ｋ件以上存在しない場合、出力判断される匿名化後データはｋ－匿名性を満たしていないと判断してステップＳ６０７の処理手順に進む。
　ここで、図１２Ａ～Ｆを用いて具体例を説明する。出力判断される匿名化後データが図１２Ａに示す匿名化後データであり、匿名化後データＤＢに図１２Ｂに示す３件の匿名化後データが存在していると仮定する。また、ｋ－匿名性指標値は「３」であり、匿名性判定情報には図４Ｃに示すカラムが設定されていると仮定する。
　出力判断部２０６は、図１２Ａに示す出力判断される匿名化後データに含まれるカラムのうち、匿名性判定するカラムを選択し、これらのカラムの設定値と同一の設定値を有するレコードが匿名化後データＤＢに存在するかを確認する。図１２Ｂの３件の匿名化後データは、いずれも、匿名性判定するカラムの設定値が、出力判断される匿名化後データのカラムの設定値と同一である。従って、出力判断部２０６は、出力判断される匿名化後データはｋ－匿名性を満たしていると判断してステップＳ６０８の処理手順に進む。
　仮に、図１２Ｂのうち、レコードＩＤがＢ９５であるレコードが匿名化後データＤＢに存在しないとした場合、出力判断される匿名化後データの各カラムのうち、匿名性判定するカラムの内容と一致するレコードは、匿名化後データＤＢに２件しか存在しないことになる。従って、出力判断部２０６は、出力判断される匿名化後データはｋ－匿名性を満たしていないと判断してステップＳ６０７の処理手順に進む。
　図１１に戻り説明を続ける。ステップＳ６０７で、出力判断部２０６は、出力判断される匿名化後データに対応する匿名化前データ及び匿名化処理管理情報から教師データを生成し、生成した教師データを機械学習部２０４に通知する。図１３Ａは、ステップＳ６０７の処理手順で生成される教師データの一例である。教師データは、「ｋ－匿名性基準適合フラグ」カラムが付加された匿名性判定情報と匿名化前データとを有するデータである。「ｋ－匿名性基準適合フラグ」は、匿名化後データがｋ－匿名性を満たしているか否かを示すフラグである。匿名化後データがｋ－匿名性を満たしていると判断された場合、教師データの「ｋ－匿名性基準適合フラグ」にはＴＲＵＥが設定され、ｋ－匿名性を満たしていないと判断された場合、教師データの「ｋ－匿名性基準適合フラグ」にはＦＡＬＳＥが設定される。出力判断部２０６は、ステップＳ６０７の処理手順で教師データを生成する際、「ｋ－匿名性基準適合フラグ」カラムをＦＡＬＳＥに設定する。ステップＳ６０６の処理手順で、出力判断される匿名化後データはｋ－匿名性を満たしていないと判断されているためである。
　ステップＳ６０８で、出力判断部２０６は、設定情報記憶部２０２から出力対象情報を取得する。続いて、出力判断部２０６は、ｋ件の匿名化後データの各々及び出力判断される匿名化後データから出力データを生成し、生成した出力データを外部システム等に出力する。なお、出力判断部２０６は、匿名化後データの各カラムから、出力対象情報に設定されているカラムを抽出することで出力データを生成する。
　ここで、図１２Ａ～Ｆを用いて具体例を説明する。出力判断される匿名化後データが図１２Ａに示す匿名化後データであり、匿名化後データＤＢに図１２Ｂに示す３件の匿名化後データが存在していると仮定する。また、ｋ－匿名性指標値は「３」であり、出力対象情報には図４Ｄに示すカラム（「レコードＩＤ」、「年齢」、「現住所」、「性別」、「受信年月日」、「診療科」、「症状」）が設定されていると仮定する。この場合、ステップＳ６０８の処理手順により出力される出力データは、図１２Ｃに示される４件の出力データになる。
　図１１に戻り説明を続ける。ステップＳ６０９で、出力判断部２０６は、ｋ件の匿名化後データのうち、いずれか１件の匿名化後データを選択し、選択した匿名化後データに対応する匿名化前データ及び匿名化処理管理情報から教師データを生成し、生成した教師データを機械学習部２０４に通知する。図１３Ｂは、ステップＳ６０９の処理手順で生成される教師データの具体例である。出力判断部２０６は、ステップＳ６０９の処理手順で教師データを生成する際、「ｋ－匿名性基準適合フラグ」カラムをＴＲＵＥに設定する。ステップＳ６０６の処理手順で、出力判断される匿名化後データはｋ－匿名性を満たしていると判断されているためである。
　ステップＳ６１０で、出力判断部２０６は、ｋ件の匿名化後データのうち、いずれか１件の匿名化後データを選択し、選択した匿名化後データから匿名性判定するカラムを抽出する。また、出力判断部２０６は、抽出したカラムから匿名化パターンを生成し、匿名化パターンに新たなレコードを追加して格納する。例えば、ステップＳ６０８で出力される出力データが図１２Ｃの４件であると仮定した場合、図１２Ｄに示す匿名化パターンが生成される。
　ステップＳ６１１で、出力判断部２０６は、ステップＳ６０８で出力したｋ件の出力データの各々に対応する匿名化前データ、匿名化後データ、及び匿名化処理管理情報を、匿名化前データＤＢ、匿名化後データＤＢ、及び匿名化処理管理情報ＤＢから削除する。
　ステップＳ６１２で、出力判断部２０６は、設定情報記憶部２０２から出力対象情報を取得する。続いて、出力判断部２０６は、匿名化パターンＤＢに存在すると判断された匿名化後データの各カラムから、出力対象情報に設定されているカラムを抽出することで出力データを生成する。続いて、出力判断部２０６は、生成した出力データを外部システム等に出力する。
　ここで、図１２Ａ～Ｆを用いて具体例を説明する。出力判断される匿名化後データが図１２Ｅに示す匿名化後データであり、出力対象情報には図４Ｄに示すカラムが設定されていると仮定する。この場合、ステップＳ６１２の処理手順により出力される出力データは、図１２Ｆに示す出力データになる。
　図１１に戻り説明を続ける。ステップＳ６１３で、出力判断部２０６は、ステップＳ６１２で出力した出力データに対応する匿名化前データ、匿名化後データ、及び匿名化処理管理情報を、匿名化前データＤＢ、匿名化後データＤＢ、及び匿名化処理管理情報ＤＢから削除する。
　なお、図１１の処理手順において、ステップＳ６０１の処理手順で複数のレコードが抽出された場合、出力判断部２０６は、全てのレコードに対してステップＳ６０２乃至ステップＳ６１３の処理手順を行う。
　（再処理手順）
　図１４は、匿名化処理における一般化の度合いを変更する場合の処理手順の一例を示す図である。図１４を用いて、機械学習部２０４が教師データに基づいて一般化の度合いを調整した場合に、匿名化処理部２０５が再度匿名化処理をやり直す場合の処理手順について説明する。
　ステップＳ７０１で、機械学習部２０４は、匿名化処理管理情報ＤＢから、「匿名化方法設定フラグ」カラムがＴＲＵＥであるレコードを全て抽出する。
　ステップＳ７０２で、機械学習部２０４は、抽出された全てのレコードの「匿名化レベル」カラムの内容を、調整後の一般化の度合いに対応する内容に変更する。また、機械学習部２０４は、「匿名化レベル」カラムの内容を変更したことを、匿名化処理部２０５に通知する。
　ステップＳ７０３で、匿名化処理部２０５は、匿名化処理管理情報ＤＢから、「匿名化済フラグ」がＴＲＵＥであるレコードを全て抽出する。
　ステップＳ７０４で、匿名化処理部２０５は、匿名化前データＤＢから、ステップＳ７０３で抽出した全てのレコードの各々に対応する全ての匿名化前データを抽出する。
　ステップＳ７０５で、匿名化処理部２０５は、ステップＳ７０４で検索された全ての匿名化前データの各々に対して、当該匿名化前データの各々に対応する匿名化処理情報の「匿名化方法」及び「匿名化レベル」カラムの設定内容に従って再度匿名化処理を行う。また、匿名化処理部２０５は、匿名化処理された匿名化前データの各カラムの内容を、匿名化後データＤＢのうち当該匿名化前データに対応する匿名化後データのレコードに上書きする。
　ここで、ステップＳ７０１乃至ステップＳ７０５の処理手順の具体例を説明する。例えば、匿名化前データが図６Ａに示す匿名化前データであり、匿名化後データが図１０Ａに示す匿名化後データであると仮定する。また、機械学習部２０４は、ステップＳ７０２の処理手順において、図８の匿名化処理管理情報のうち現住所の匿名化レベルを「"現住所"："丁目以降を削除"」に変更したと仮定する。この場合、ステップＳ７０５の処理手順において、匿名化処理部２０５は、匿名化前データの現住所カラム（"東京都足立区ＸＹ町１丁目位１－１１－１０１"）から丁目以降を削除した現住所カラム（"東京都足立区ＸＹ町１丁目"）を生成し、図１０Ａに示す匿名化後データの現住所カラムに上書きする。
　（データ消去手順）
　匿名化処理部２０５は、匿名化処理管理情報ＤＢに格納されている各匿名化処理管理情報の各々の「生成日時」と現在の日時とを比較することで、リアルタイム性定義情報の保持期限に設定されている時間を経過しても、出力データとして出力されていないデータ（保持時間内にｋ－匿名性を満たせなかったデータ）の有無を確認する。
　匿名化処理部２０５は、匿名化処理管理情報の「生成日時」と現在の日時との差分が、リアルタイム性定義情報の保持期限を超えている場合、匿名化後データは保持期限内にｋ－匿名性を満たせなかったと判断する。また、匿名化処理部２０５は、匿名化後データは保持期限内にｋ－匿名性を満たせなかったと判断した場合、当該匿名化後データ、当該匿名化後データに対応する匿名化前データ及び匿名化処理管理情報を、匿名化前データＤＢ、匿名化後データＤＢ、及び匿名化処理管理情報ＤＢから削除する。
　なお、匿名化処理部２０５は、「生成日時」と現在の日時とを比較する代わりに、例えば、一時記憶部２０１に蓄積されたレコード数が所定の閾値を超えた場合に、生成日時が古い順に、匿名化前データと匿名化後データと匿名化処理管理情報とを、匿名化前データＤＢ、匿名化後データＤＢ、及び匿名化処理管理情報ＤＢから削除するようにしてもよい。
　（機械学習手順）
　機械学習部２０４は、外部システム等から受け取った教師データ又は出力判断部２０６から受け取った教師データに基づき、一般化の度合いを調整する。機械学習部２０４は、教師データを利用者に参照させると共に、利用者からの指示に従って一般化の度合いを調整するようにしてもよいし、教師データに基づいて自動的に一般化の度合いを調整するようにしてもよい。
　機械学習部２０４は、「ｋ－匿名性基準適合フラグ」がＦＡＬＳＥである教師データに対して、個人情報の項目の値を粗くする方向（一般化の度合いを高くする方向）に一般化の度合いを調整する。「ｋ－匿名性基準適合フラグ」がＴＲＵＥである教師データに対して、個人情報を具体化する方向（一般化の度合いを低くする方向）に一般化の度合いを調整する。
　なお、機械学習部２０４は、教師データを受信する度に一般化の度合いを調整するのではなく、例えば、「ｋ－匿名性基準適合フラグ」がＦＡＬＳＥである教師データが増加した場合に、個人情報の項目の値を粗くする方向（一般化の度合いを高くする方向）に一般化の度合いを調整し、「ｋ－匿名性基準適合フラグ」がＴＲＵＥである教師データが増加した場合に、個人情報を具体化する方向（一般化の度合いを低くする方向）に一般化の度合いを調整するようにしてもよい。
　なお、個人情報の項目の値を粗くする方向とは、例えば、「"現住所"："丁目以降を削除"」の設定を「"現住所"："市区町村以降を削除"」の設定に変更することをいう。また、個人情報を具体化する方向とは、例えば、「"現住所"："市区町村以降を削除"」の設定を「"現住所"："丁目以降を削除"」の設定に変更することをいう。
　＜効果＞
　以上、実施の形態に係る匿名化処理装置１０は、外部システム等から入力される入力データに対して匿名化処理を行い、ｋ－匿名性を満たす場合に、匿名化された出力データを出力するようにした。これにより、実施の形態に係る匿名化処理装置１０は、継続的に入力されるデータに対して、匿名性を保証しつつリアルタイムに匿名化を行うことができる。
　以上、実施の形態に係る匿名化処理装置１０は、匿名化されたデータがｋ－匿名性を満たすのか否かを示す教師データに基づき機械学習を行い、一般化の度合いを変更可能にした。実施の形態に係る匿名化処理装置１０は、バッチ処理により匿名化を行うシステムとは異なり、匿名化対象のレコードの総数がいくつになるのか特定できないため、バッチ処理で匿名化を行うシステムと比較して一般化の度合いが高い方向で出力データを出力し続けてしまう可能性がある。そこで、実施の形態に係る匿名化処理装置１０は、「ｋ－匿名性基準適合フラグ」がＴＲＵＥである教師データに対して一般化の度合いを低くする方向に調整し、「ｋ－匿名性基準適合フラグ」がＦＡＬＳＥである教師データに対して一般化の度合いを高くする方向に調整するようにした。これにより、実施の形態に係る匿名化処理装置１０は、最適な一般化の度合いで匿名化処理されたデータを出力することができる。
　＜実施形態の補足＞
　以上、本発明は実施の形態に限定されるものではなく、本発明の範囲内で種々の変形及び改良が可能である。
　以上、実施の形態で述べたフローチャートは、矛盾の無い限り順序を入れ替えてもよい。
　以上、実施の形態の全部又は一部は、プログラムによって実装され得る。このプログラムは、記憶媒体に格納することができる。
　なお、実施の形態において、匿名化処理部２０５は、処理部の一例である。一時記憶部２０１は、第一の記憶部の一例である。匿名化パターンＤＢ記憶部２０７は、第二の記憶部の一例である。匿名化後データは、匿名化済みデータの一例である。ｋ－匿名性は、匿名性指標の一例である。一般化の度合いは、抽象度の一例である。
　本特許出願は２０１５年１月２７日に出願した日本国特許出願第２０１５－０１３５０４号に基づきその優先権を主張するものであり、日本国特許出願第２０１５－０１３５０４号の全内容を本願に援用する。
１０　匿名化処理装置
２０１　一時記憶部
２０２　設定情報記憶部
２０３　入力部
２０４　機械学習部
２０５　匿名化処理部
２０６　出力判断部
２０７　匿名化パターンＤＢ記憶部

Claims (9)

  1. 　入力データに対して匿名化を行い、匿名化された出力データを出力する匿名化処理装置であって、
    　前記入力データを受け付ける入力部と、
    　前記入力データに対して匿名化を行い、匿名化された前記入力データに対応する匿名化済みデータを生成する処理部と、
    　匿名化済みデータを記憶する第一の記憶部と、
    　前記第一の記憶部に記憶されている複数の匿名化済みデータが匿名性指標を満たす場合に、前記複数の匿名化済みデータの各々に対応する複数の出力データを生成して出力し、前記複数の匿名化済みデータを前記第一の記憶部から削除する出力部と、
    　を有する、匿名化処理装置。
  2. 　前記出力部は、前記第一の記憶部に記憶されている匿名化済みデータに含まれる情報項目の各々が一致している匿名化済みデータが、少なくとも所定の数以上存在する場合に、前記匿名性指標を満たすと判断する、請求項１に記載の匿名化処理装置。
  3. 　匿名性を判断するための匿名化パターンを記憶する第二の記憶部を有し、
    　前記出力部は、前記複数の匿名化済みデータに基づいて前記匿名化パターンを生成して前記第二の記憶部に格納し、前記第一の記憶部に記憶されている匿名化済みデータに含まれる情報項目の各々と、前記匿名化パターンに含まれる情報項目の各々とが一致する場合、匿名化済みデータから出力データを生成して出力する、請求項１又は２に記載の匿名化処理装置。
  4. 　前記処理部は、所定の条件を満たす場合に、前記第一の記憶部に記憶されている匿名化済みデータを削除する、請求項１乃至３のいずれか一項に記載の匿名化処理装置。
  5. 　前記所定の条件は、匿名化済みデータに対応する前記入力データが、前記入力部で受け付けられてからの経過時間、又は、前記第一の記憶部に記憶可能なレコード数が所定の閾値を超えた場合である、請求項４に記載の匿名化処理装置。
  6. 　抽象度を指定する機械学習部を有し、
    　前記処理部は、前記抽象度に基づいて前記入力データに対して匿名化を行い、
    　前記出力部は、前記複数の匿名化済みデータが前記匿名性指標を満たすか否かの判断結果を前記機械学習部に送信し、
    　前記機械学習部は、前記判断結果に基づいて前記抽象度を変更する、請求項１乃至５のいずれか一項に記載の匿名化処理装置。
  7. 　前記処理部は、前記抽象度が変更された場合、変更された前記抽象度に基づいて前記入力データに対して再度匿名化を行う、請求項６に記載の匿名化処理装置。
  8. 　入力データに対して匿名化を行い、匿名化された出力データを出力する匿名化処理装置の匿名化処理方法であって、
    　前記入力データを受け付ける入力ステップと、
    　前記入力データに対して匿名化を行い、匿名化された前記入力データに対応する匿名化済みデータを生成する処理ステップと、
    　匿名化済みデータを第一の記憶部に記憶させる記憶ステップと、
    　前記第一の記憶部に記憶されている複数の匿名化済みデータが匿名性指標を満たす場合に、前記複数の匿名化済みデータの各々に対応する複数の出力データを生成して出力し、前記複数の匿名化済みデータを前記第一の記憶部から削除する出力ステップと、
    　を有する、匿名化処理方法。
  9. 　入力データに対して匿名化を行い、匿名化された出力データを出力する匿名化処理装置のプログラムであって、
    　匿名化処理装置に、
    　前記入力データを受け付ける入力ステップと、
    　前記入力データに対して匿名化を行い、匿名化された前記入力データに対応する匿名化済みデータを生成する処理ステップと、
    　匿名化済みデータを第一の記憶部に記憶させる記憶ステップと、
    　前記第一の記憶部に記憶されている複数の匿名化済みデータが匿名性指標を満たす場合に、前記複数の匿名化済みデータの各々に対応する複数の出力データを生成して出力し、前記複数の匿名化済みデータを前記第一の記憶部から削除する出力ステップと、
    　を実行させるプログラム。
PCT/JP2016/050737 2015-01-27 2016-01-12 匿名化処理装置、匿名化処理方法及びプログラム WO2016121493A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US15/545,834 US10817621B2 (en) 2015-01-27 2016-01-12 Anonymization processing device, anonymization processing method, and program
DK16743097.4T DK3252650T3 (da) 2015-01-27 2016-01-12 Anonymiseringsbehandlingsindretning, anonymiseringsbehandlingsfremgangsmåde og program
EP16743097.4A EP3252650B1 (en) 2015-01-27 2016-01-12 Anonymization processing device, anonymization processing method, and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-013504 2015-01-27
JP2015013504A JP6456162B2 (ja) 2015-01-27 2015-01-27 匿名化処理装置、匿名化処理方法及びプログラム

Publications (1)

Publication Number Publication Date
WO2016121493A1 true WO2016121493A1 (ja) 2016-08-04

Family

ID=56543112

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/050737 WO2016121493A1 (ja) 2015-01-27 2016-01-12 匿名化処理装置、匿名化処理方法及びプログラム

Country Status (5)

Country Link
US (1) US10817621B2 (ja)
EP (1) EP3252650B1 (ja)
JP (1) JP6456162B2 (ja)
DK (1) DK3252650T3 (ja)
WO (1) WO2016121493A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018533087A (ja) * 2016-09-22 2018-11-08 三菱電機株式会社 データ撹乱装置およびデータ撹乱システム
WO2019009116A1 (ja) * 2017-07-07 2019-01-10 ソニー株式会社 情報処理装置、情報処理システム、および情報処理方法、並びにプログラム
JP2021026045A (ja) * 2019-07-31 2021-02-22 株式会社デンソーアイティーラボラトリ 保存装置、保存方法およびプログラム

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6693135B2 (ja) * 2016-01-13 2020-05-13 富士通株式会社 情報処理装置、情報処理方法およびプログラム
WO2018198676A1 (ja) * 2017-04-28 2018-11-01 株式会社キーソフト 情報処理システム
US11048820B2 (en) * 2017-07-21 2021-06-29 Sap Se Anonymized data storage and retrieval
US11151283B2 (en) * 2017-09-15 2021-10-19 Sap Se Secure data analysis in multitenant applications
KR102490529B1 (ko) * 2017-11-03 2023-01-20 한국전자통신연구원 전주기적 비식별화 관리 장치 및 방법
US10740488B2 (en) * 2017-11-17 2020-08-11 International Business Machines Corporation Cognitive data anonymization
JP6779854B2 (ja) * 2017-12-04 2020-11-04 Kddi株式会社 匿名化装置、匿名化方法及び匿名化プログラム
JP7151759B2 (ja) * 2018-03-02 2022-10-12 日本電気株式会社 情報処理装置、情報処理方法、及び、プログラム
WO2020012439A1 (en) * 2018-07-13 2020-01-16 Imagia Cybernetics Inc. Method and system for generating synthetically anonymized data for a given task
US20200057920A1 (en) * 2018-08-20 2020-02-20 CrowdCare Corporation System and Method of Quotation Engine for AI Asset Training
US20200117833A1 (en) * 2018-10-10 2020-04-16 Koninklijke Philips N.V. Longitudinal data de-identification
KR102248993B1 (ko) * 2019-04-15 2021-05-07 주식회사 파수 비식별화 과정의 중간 결과 데이터 분석 방법, 장치, 컴퓨터 프로그램 및 그 기록 매체
WO2020235015A1 (ja) * 2019-05-21 2020-11-26 日本電信電話株式会社 情報処理装置、情報処理方法及びプログラム
JP7231020B2 (ja) * 2019-05-21 2023-03-01 日本電信電話株式会社 情報処理装置、情報処理方法及びプログラム
FI20195426A1 (en) 2019-05-23 2020-11-24 Univ Helsinki Compatible anonymization of data sets from different sources
US20220351114A1 (en) * 2019-08-20 2022-11-03 Nippon Telegraph And Telephone Corporation Information collecting apparatus and method
US11574186B2 (en) 2019-10-31 2023-02-07 International Business Machines Corporation Cognitive data pseudonymization
JP2021157343A (ja) * 2020-03-25 2021-10-07 京セラドキュメントソリューションズ株式会社 データ連携システムおよび匿名化制御システム
WO2023036449A1 (en) * 2021-09-10 2023-03-16 Veridas Digital Authentication Solutions, S.L. Generating an evolved version of a classifier

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012150651A (ja) * 2011-01-19 2012-08-09 Kddi R & D Laboratories Inc 重要度判定装置、重要度判定方法およびプログラム
JP2014164477A (ja) * 2013-02-25 2014-09-08 Hitachi Systems Ltd ｋ−匿名データベース制御装置及び制御方法
US20150007249A1 (en) * 2013-06-26 2015-01-01 Sap Ag Method and system for on-the-fly anonymization on in-memory databases

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003021473A1 (en) * 2001-08-30 2003-03-13 Privasource, Inc. Data source privacy screening systems and methods
US7024409B2 (en) * 2002-04-16 2006-04-04 International Business Machines Corporation System and method for transforming data to preserve privacy where the data transform module suppresses the subset of the collection of data according to the privacy constraint
EP1548998A4 (en) * 2002-10-03 2008-02-27 In4S Inc BITKETTENPR FISHING PROCEDURE AND EQUIPMENT
EP1950684A1 (en) * 2007-01-29 2008-07-30 Accenture Global Services GmbH Anonymity measuring device
IL197579A0 (en) * 2009-03-12 2009-12-24 Univ Ben Gurion Efficient multi-dimensional suppression for k-anonymity
JP5757241B2 (ja) * 2009-10-09 2015-07-29 日本電気株式会社 情報管理装置、そのデータ処理方法、およびコンピュータプログラム
CA2837848A1 (en) * 2011-06-02 2012-12-06 Nec Corporation Distributed anonymization system, distributed anonymization device, and distributed anonymization method
CN102867022B (zh) * 2012-08-10 2015-01-14 上海交通大学 通过部分删除某些项目达到对集合型数据匿名化的***
JPWO2014061275A1 (ja) * 2012-10-18 2016-09-05 日本電気株式会社 情報処理装置及び情報処理方法
US9202081B2 (en) * 2012-12-17 2015-12-01 Telefonaktiebolaget L M Ericsson (Publ) Apparatus and methods for anonymizing a data set
JP6398724B2 (ja) * 2013-01-10 2018-10-03 日本電気株式会社 情報処理装置、および、情報処理方法
JP6214167B2 (ja) 2013-02-08 2017-10-18 富士通クラウドテクノロジーズ株式会社 情報処理システム、情報処理方法、及び情報処理プログラム
JP6048204B2 (ja) * 2013-02-20 2016-12-21 株式会社リコー 情報処理装置、情報処理システム、及び情報処理プログラム
US9619450B2 (en) * 2013-06-27 2017-04-11 Google Inc. Automatic generation of headlines
JP6413769B2 (ja) * 2015-01-05 2018-10-31 富士通株式会社 データ秘匿装置、データ秘匿プログラムおよびデータ秘匿方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012150651A (ja) * 2011-01-19 2012-08-09 Kddi R & D Laboratories Inc 重要度判定装置、重要度判定方法およびプログラム
JP2014164477A (ja) * 2013-02-25 2014-09-08 Hitachi Systems Ltd ｋ−匿名データベース制御装置及び制御方法
US20150007249A1 (en) * 2013-06-26 2015-01-01 Sap Ag Method and system for on-the-fly anonymization on in-memory databases

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
JIANNENG CAO ET AL.: "CASTLE: Continuously Anonymizing Data Streams", IEEE TRANSACTIONS ON DEPENDABLE AND SECURE COMPUTING, vol. 8, no. 3, 30 June 2011 (2011-06-30), pages 337 - 352, XP011350902 *
KUN GUO ET AL.: "Fast clustering-based anonymization approaches with time constraints for data streams", KNOWLEDGE BASED SYSTEMS, 31 July 2013 (2013-07-31), pages 95 - 108, XP055478715 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018533087A (ja) * 2016-09-22 2018-11-08 三菱電機株式会社 データ撹乱装置およびデータ撹乱システム
WO2019009116A1 (ja) * 2017-07-07 2019-01-10 ソニー株式会社 情報処理装置、情報処理システム、および情報処理方法、並びにプログラム
EP3651047A4 (en) * 2017-07-07 2020-06-17 Sony Corporation INFORMATION PROCESSING DEVICE, INFORMATION PROCESSING SYSTEM, INFORMATION PROCESSING PROCESS AND PROGRAM
JP2021026045A (ja) * 2019-07-31 2021-02-22 株式会社デンソーアイティーラボラトリ 保存装置、保存方法およびプログラム

Also Published As

Publication number Publication date
EP3252650B1 (en) 2020-06-24
EP3252650A1 (en) 2017-12-06
US10817621B2 (en) 2020-10-27
JP2016139261A (ja) 2016-08-04
DK3252650T3 (da) 2020-08-10
EP3252650A4 (en) 2018-11-21
JP6456162B2 (ja) 2019-01-23
US20180012039A1 (en) 2018-01-11

Similar Documents

Publication Publication Date Title
JP6456162B2 (ja) 匿名化処理装置、匿名化処理方法及びプログラム
US11503065B2 (en) Determining digital vulnerability based on an online presence
US10454932B2 (en) Search engine with privacy protection
US9202078B2 (en) Data perturbation and anonymization using one way hash
Rodrigues et al. Sensitivity analysis in a dengue epidemiological model
CN104346418B (zh) 用于数据的关系型上下文敏感匿名化的方法和***
US9892278B2 (en) Focused personal identifying information redaction
JP2021504798A (ja) データ匿名化のためコンピュータが実行する方法、システム、コンピュータ・プログラム、コンピュータ・プログラム、および記憶媒体
CN109215796B (zh) 搜索方法、装置、计算机设备和存储介质
US20070255704A1 (en) Method and system of de-identification of a record
US11449674B2 (en) Utility-preserving text de-identification with privacy guarantees
WO2013088681A1 (ja) 匿名化装置、匿名化方法、並びにコンピュータ・プログラム
US11461496B2 (en) De-identification of electronic records
EP3832559A1 (en) Controlling access to de-identified data sets based on a risk of re-identification
Vardalachakis et al. ShinyAnonymizer: A Tool for Anonymizing Health Data.
Vimala Ithayan et al. A Secured Healthcare Management and Service Retrieval for Society Over Apache Spark Hadoop Environment
Chen et al. Architecture and building the medical image anonymization service: cloud, big data and automation
Jiang et al. Classification of medical sensitive data based on text classification
US20210209357A1 (en) Methods and systems for facilitating determination of differences between a pair of regulatory documents
CN112652375A (zh) 药物推荐方法、装置、电子设备及存储介质
Khalique et al. Decision tree-based anonymized electronic health record fusion for public health informatics
US12008139B1 (en) Methods and systems of facilitating sharing of medical information associated with a patient among user devices
US20230195933A1 (en) Machine learning and rule-based identification, anonymization, and de-anonymization of sensitive structured and unstructured data
US20230148326A1 (en) Systems and methods for de-identifying patient data
JP7219726B2 (ja) リスク評価装置、リスク評価方法及びリスク評価プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16743097

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15545834

Country of ref document: US

REEP Request for entry into the european phase

Ref document number: 2016743097

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE